kvirtu Posted August 31, 2011 at 01:38 PM Posted August 31, 2011 at 01:38 PM Конечно в первую очередь защищенность определяет кривость рук админа, но все же: статистика, личный опыт ???
NiTr0 Posted August 31, 2011 at 01:45 PM Posted August 31, 2011 at 01:45 PM Что именно под ддосом ОС подразумевается? ICMP флуд что ли? Или ддос сервисов - который собссно оканчивается для разных сервисов/демонов по-разному? Из личного опыта - линукс сильно нехорошо переносит out of memory при активном своппинге. Как это переживает бздя - мне неизвестно. Но для этих целей опять же есть инструменты ограничения ресурсов, выделяемых группам процессов, или радикальное решение - отключение свопа.
kvirtu Posted August 31, 2011 at 02:37 PM Author Posted August 31, 2011 at 02:37 PM Что именно под ддосом ОС подразумевается? ICMP флуд что ли? Или ддос сервисов - который собссно оканчивается для разных сервисов/демонов по-разному? Из личного опыта - линукс сильно нехорошо переносит out of memory при активном своппинге. Как это переживает бздя - мне неизвестно. Но для этих целей опять же есть инструменты ограничения ресурсов, выделяемых группам процессов, или радикальное решение - отключение свопа. По ДДОС интересует все, как же без свопа то ???
NiTr0 Posted August 31, 2011 at 02:47 PM Posted August 31, 2011 at 02:47 PM Молча без свопа. В нормальном режиме своп практически не юзается. Мало рамы - докупить не проблема, цены смешные - не 2000й год на дворе ведь. Можно и 16 гиг вкрячить на тазик при желании. Ну а вообще - все решается в первую очередь на уровне сервисов. Чтобы ложился сервис, а не вся система. Для хттп - это nginx+php-fcgi вместо апача + лимиты, для системных сервисов - ограничение доступа только с нужных адресов и т.п.; + вынос всяческого ховна в VM/OpenVZ контейнеры - сдохло, ну и хрен с ним. А заддосить ядро системы пингами или чем там еще - это надо умудриться... Каналы сдуются ИМХО намного раньше.
kvirtu Posted August 31, 2011 at 02:53 PM Author Posted August 31, 2011 at 02:53 PM Молча без свопа. В нормальном режиме своп практически не юзается. Мало рамы - докупить не проблема, цены смешные - не 2000й год на дворе ведь. Можно и 16 гиг вкрячить на тазик при желании. Ну а вообще - все решается в первую очередь на уровне сервисов. Чтобы ложился сервис, а не вся система. Для хттп - это nginx+php-fcgi вместо апача + лимиты, для системных сервисов - ограничение доступа только с нужных адресов и т.п.; + вынос всяческого ховна в VM/OpenVZ контейнеры - сдохло, ну и хрен с ним. А заддосить ядро системы пингами или чем там еще - это надо умудриться... Каналы сдуются ИМХО намного раньше. Планирую ставить фрю , nginx - принимающий запросы и отдающий их апачу (апач нужен для софта), перекомпиляция ядра с НУЖНЫМИ настройками + ipfw.
NiTr0 Posted August 31, 2011 at 04:09 PM Posted August 31, 2011 at 04:09 PM Это какой же такой специфичный софт требует именно апач? У меня вебка со всяким хламом в виртуалке на php-fcgi+nginx крутится... Хотя если и передавать - то только запросы к динамическим страничкам, статику пускай nginx переваривает.
adeep Posted August 31, 2011 at 04:38 PM Posted August 31, 2011 at 04:38 PM вопрос бредовый. все зависит от кривизны рук настраивающего. сетевые стеки примерно сравнялись уже, с точки зрения системы ограничения можно выставить одинаковые.
ramsess Posted August 31, 2011 at 04:47 PM Posted August 31, 2011 at 04:47 PM Единственная защита от DDoS это децентрализация и распределение ресурсов. В противном случае как здесь упомянули каналы просядут раньше чем сервера и пофиг что на них стоит, что бздя, что линукс, что винда.
kvirtu Posted August 31, 2011 at 07:27 PM Author Posted August 31, 2011 at 07:27 PM Это какой же такой специфичный софт требует именно апач? У меня вебка со всяким хламом в виртуалке на php-fcgi+nginx крутится... Хотя если и передавать - то только запросы к динамическим страничкам, статику пускай nginx переваривает. Ну например панель управления хостингом
NiTr0 Posted September 1, 2011 at 09:00 AM Posted September 1, 2011 at 09:00 AM Вы уверены, что оно действительно не может жить без апача? Я в этом совсем не уверен
kvirtu Posted September 1, 2011 at 09:15 AM Author Posted September 1, 2011 at 09:15 AM Вы уверены, что оно действительно не может жить без апача? Я в этом совсем не уверен DirectAdmin
NiTr0 Posted September 1, 2011 at 09:32 AM Posted September 1, 2011 at 09:32 AM Ну к примеру как-то так. Ну или так. Было бы желание.
kvirtu Posted September 1, 2011 at 11:07 AM Author Posted September 1, 2011 at 11:07 AM Ну к примеру как-то так. Ну или так. Было бы желание. Спасибо, за ссылочки, есть ли необходимость защищать ДНС-сервер ?
NiTr0 Posted September 1, 2011 at 11:16 AM Posted September 1, 2011 at 11:16 AM Мы у себя зарезали кол-во запросов с одного адреса из мира в единицу времени. Но скорее для перестраховки.
adeep Posted September 1, 2011 at 11:17 AM Posted September 1, 2011 at 11:17 AM что вы подразумеваете под "защищать" ДНС сервер? если подразумевается уствновка всех обычных разумных настроек, то да.
kvirtu Posted September 1, 2011 at 11:32 AM Author Posted September 1, 2011 at 11:32 AM что вы подразумеваете под "защищать" ДНС сервер? если подразумевается уствновка всех обычных разумных настроек, то да. Установить и настроить fail2ban
NiTr0 Posted September 1, 2011 at 11:42 AM Posted September 1, 2011 at 11:42 AM Установить и настроить fail2ban Ну и что вы ним анализировать в логах будете-то??? Какие запросы авторизации могут быть у днс сервера??????? Сделайте иптейблсом лимит новых соединений на заданный порт в единицу времени и все. Ну или бздевым файрволом.
Serjio Posted September 1, 2011 at 01:11 PM Posted September 1, 2011 at 01:11 PM Спасибо, за ссылочки, есть ли необходимость защищать ДНС-сервер ? NS-ы нужно правильно настроить это решит 90% проблем.
Serjio Posted September 1, 2011 at 01:20 PM Posted September 1, 2011 at 01:20 PM Конечно в первую очередь защищенность определяет кривость рук админа, но все же: статистика, личный опыт ??? DDOS DDOS-у рознь, бывают такие атаки что падают все. Различие в том, что криворукие падают быстрее. Как показывает практика, защита должна строиться в первую очередь на уровне инфраструктуры, во вторую на уровне приложения. Если мы говорим о промышленных масштабах то это одно, если об уровне хостера с парком оборудования в полтора тазика то тут подойдет хоть фря хоть линух.
kvirtu Posted September 1, 2011 at 05:51 PM Author Posted September 1, 2011 at 05:51 PM Спасибо, за ссылочки, есть ли необходимость защищать ДНС-сервер ? NS-ы нужно правильно настроить это решит 90% проблем. Ну ДНС настраивал, что к чему в принципе разбираюсь, но можно все же сцылочку как правильно настроить первичный и вторичный NS
kvirtu Posted September 1, 2011 at 05:53 PM Author Posted September 1, 2011 at 05:53 PM Конечно в первую очередь защищенность определяет кривость рук админа, но все же: статистика, личный опыт ??? DDOS DDOS-у рознь, бывают такие атаки что падают все. Различие в том, что криворукие падают быстрее. Как показывает практика, защита должна строиться в первую очередь на уровне инфраструктуры, во вторую на уровне приложения. Если мы говорим о промышленных масштабах то это одно, если об уровне хостера с парком оборудования в полтора тазика то тут подойдет хоть фря хоть линух. Тут как раз в точку (тазик+УПС) - у меня будет хостинг в основном для своих целей, знакомых , а там может а на продажу)
aoz1 Posted September 7, 2011 at 09:54 AM Posted September 7, 2011 at 09:54 AM Тут как раз в точку (тазик+УПС) - у меня будет хостинг в основном для своих целей, знакомых , а там может а на продажу) Для дома для семьи, родственников и их друзей (сайты до 1000 посещений в день) ставь любой тазик, только сразу мозгов побольше на него любую хостинг панель. Хош платную, хош бесплатную. У меня для тех же целей стоит Plesk на центосе, уже лет пять (раскрутил спонсора). Там под сотню доменов (в основном джумла) с общим траффиком до пол терабайта в месяц. Все что допиливалось на предмет оптимизации по моему, это mysql. Ну дырки по безопасности затыкаю суосин и последняя тут на форуме была, ну еще там было. Какие DOS атаки? Накой "Я и моя собака" кому то нужны. Ну еще человечек решил драйвера с сайта отдавать, провел разьяснительную беседу повесил на ту папку nginx. PS и два камушка на процессоре. Когда червяки под user account залазят то 1 камень на 100% занимают.
Recommended Posts
Create an account or sign in to comment
You need to be a member in order to leave a comment
Create an account
Sign up for a new account in our community. It's easy!
Register a new accountSign in
Already have an account? Sign in here.
Sign In Now