Посоветуйте роутер со встроенной защитой от DDoS (LOIC\UPD\SYN).

[vokforever 3]

Здравствуйте!

Посоветуйте роутер со встроенной защитой от DDoS (LOIC\UPD\SYN).

Сейчас сервер атакуют на 53port\UDP\DNS

Есть возможность купить в моем городе:

Cisco 1841

Cisco 871

Cisco 1721

Cisco 1751

Cisco 1751 V

Cisco SB 101

 

Какой лучше мне подойдет и подойдет ли вообще ?

Відредаговано 2014-08-01 17:00:09 vokforever

[mr.Scamp 41]

Ни один из вышеперечисленных.

[vokforever 3]

Ни один из вышеперечисленных.

Спасибо, а какой подойдет (не из данных выше)?

[vit_ 35]

Поправьте задачу - ширина канала и pps. Тогда можно что-то посоветовать.

[vokforever 3]

Сейчас канал 80-100мбит, можно увеличить до 1гигабита.

Кол-во пакетов? Не знаю даже.

у меня от такой активности , уже даже пинги и трассировки на шлюз не идут.

[mr.Scamp 41]

Это разве активность?

Возьмите микротик CCR, будет слегка дороже б/ушной циски.

[vokforever 3]

Кавычки забыл, "активность" - типа флуд атака.

 

Маршрутизатор (router) MikroTik Cloud Core Router, CCR1016-12G НОВЫЙ

Компьютеры » Периферийные устройстваКиев

7 116 грн.

 

Это дорого выходит.

Только он справится с поставленной задачей ?

Бюджетных вариантов нет ?

[vit_ 35]

ПК + Линукс или Фришка

[vokforever 3]

ПК + Линукс или Фришка

Как я понял, поставить ПК с linux до сервера, на нем фильровать и отдавать на сервер ?

[Nikolay_ 0]

Из тех Cisco, что Вы указали, 100 МБит трафика не переварит ни один. Тем более, я думаю, что на нем нужна будет куча других сервисов.

Такого класса cisco - наверное,

DNS сервер, я так понимаю, находится внутри вашей сети и снаружи идет масса пакетов 

53port\UDP\DNS. Пакеты идут с разных адресов или с одного/небольшого количества?

Тут другой вопрос - что Вы собираетесь делать с этими пакетами?

И если атака распределенная - вы собираетесь закрыться вообще снаружи порт 53?

[KaYot 3 707]

"Отфильтровать" проще на любом L2+ свиче современном. Типа длинк 3526/3200.

Ибо автоматически бороться с DOSом ни циско-роутер, ни сервер на linux не будут, а закрыть нужные порты замечательно сможет и длинк за 100$, причем на скорости 1Г.

[vokforever 3]

Из тех Cisco, что Вы указали, 100 МБит трафика не переварит ни один. Тем более, я думаю, что на нем нужна будет куча других сервисов.

Такого класса cisco - наверное,

DNS сервер, я так понимаю, находится внутри вашей сети и снаружи идет масса пакетов 

53port\UDP\DNS. Пакеты идут с разных адресов или с одного/небольшого количества?

Тут другой вопрос - что Вы собираетесь делать с этими пакетами?

И если атака распределенная - вы собираетесь закрыться вообще снаружи порт 53?

DNS сервера, внутри сети нет,

Порт 53 я не использую и можно закрыть, но я пытался через iptables:

iptables -A INPUT -p UDP -m pkttype --pkt-type broadcast -j DROP
iptables -A INPUT -p UDP -m limit --limit 3/s -j ACCEPT
iptables -A INPUT -i eth0 -p udp --sport 53 -j DROP
iptables -A INPUT -i eth0 -p tcp --sport 53 -j DROP
iptables -A INPUT -i eth0 -p udp --dport 53 -j DROP
iptables -A INPUT -i eth0 -p tcp --dport 53 -j DROP

Не помогло, ложится канал, как-будто.

 

"Отфильтровать" проще на любом L2+ свиче современном. Типа длинк 3526/3200.

Ибо автоматически бороться с DOSом ни циско-роутер, ни сервер на linux не будут, а закрыть нужные порты замечательно сможет и длинк за 100$, причем на скорости 1Г.

Подробнее можно ? Цена не 100$ получается.

 

свич d-link xstack des-3200-26Компьютеры » Периферийные устройстваЧерновцы 1 800 грн.

Могу провести гигабит + подобное устройство ($100) - это меня спасет от атак ? Главное чтобы канал не забивался так.

Відредаговано 2014-08-02 08:30:54 vokforever

[zulu_Radist 856]

 

 

Подробнее можно ? Что за L2+ ? Цена не 100$ получается.

 

вам не надо новый, берите бу, предложения тут периодически есть на форуме с 50% скидкой

[KaYot 3 707]

Могу провести гигабит + подобное устройство ($100) - это меня спасет от атак ? Главное чтобы канал не забивался так.

Вероятнее всего спасет. Если атака конечно не навороченная , которая сможет забить и 1Г канал

Нужен любой свич умеющий адекватные acl - проще всего б/у длинк серий 3526/3100/3200 и даже 1210/me

[vokforever 3]

 

Подробнее можно ? Что за L2+ ? Цена не 100$ получается.

 

вам не надо новый, берите бу, предложения тут периодически есть на форуме с 50% скидкой

 

Понял, нашел D-link des-3526.

Могу провести гигабит + D-link des-3526 - как я понял на нем закрываю все порты (включая 53), кроме тех которыми пользуюсь ?

Канал не будет забиваться так?

И еще, UDP же не имеет handshake, через этот свитч он не пройдет ?

[LV10 281]

А расскажите мне друзья, как спасет железка или iptables, если приезжает over 20G трафика, когда у человека дырка на 1G.

 

Да хоть обложись джуниперами и нетскринами со всех боков - тебя это не спасет

[KaYot 3 707]

Есть вероятность что ложится все-таки не внешний канал, а атакуемый сервер. В такой ситуации фильтрация свичем поможет на ура.

Если же это полноценный ddos - спасения окромя переноса в дц с жирными каналами и своей системой защиты нет.

Сколько там трафика в момент атаки идёт должен сам тс сказать, погляди на интерфейсе тем же ifstat -i eth0 -b

[vokforever 3]

Есть вероятность что ложится все-таки не внешний канал, а атакуемый сервер. В такой ситуации фильтрация свичем поможет на ура.

Если же это полноценный ddos - спасения окромя переноса в дц с жирными каналами и своей системой защиты нет.

Сколько там трафика в момент атаки идёт должен сам тс сказать, погляди на интерфейсе тем же ifstat -i eth0 -b

Ок, при следующей атаке посмотрю.

Провайдер утверждает, что с его оборудованием все норм и порт (моя линия) не закрывается.

Это на 100мбитах.

[Nikolay_ 0]

Согласен также, что если забивается канал, то никакая железка не поможет.

Если действительно сервер ложится, то можно офильтровать входящий трафик.

Из недорогого видел Cisco pix 516e - вот он точно справится со 100 Мбит трафика + nat.

Цена была очень гуманная как для такого устройства. Не знаю остался ли он еще...

http://local.com.ua/forum/topic/57893-продам-cisco-firewall-pix-515e/?hl=%2Bcisco+%2Bpix

[vokforever 3]

Предложили еще одно решение, как я понял опробованное на практике:

На MikroTik RouterBoard то есть на RouterOS, справился несложным правилом:
add action=drop chain=input dst-port=53 in-interface=ether1 protocol=udp
То есть, нам надо дропнуть входящие в роутер соединения, приходящие на 53 порт нашего WAN.

Во время флуда, процессор роутера вешался в 100%, после применения правила 4-7%

Такое правило можно настроить везде или только в микротиках? 
 

Согласен также, что если забивается канал, то никакая железка не поможет.

 

 

 

Ну провайдер говорит, что у них с железом все ок.

Но трассировки и пинги не уходят.

Сеть есть вроде как, т.к пакеты я принимаю атакующие . По идеи у них оборудование живет? 

[KaYot 3 707]

Предложили еще одно решение, как я понял опробованное на практике:

Как раз такое можно сделать на любом свиче с ACL, это единственный доступный вам вариант борьбы. И роутер(тем более микротиковский) для этого нафиг не нужен.

Вот только нет гарантии что это вас спасет.

[kha0s 112]

Тема ни о чем. Флуд по tcp, который действительно можно файрволить остался в 90-х. От самого слабенького ботнета по udp никакой файрвол у клиента не спасет. В 99% случаях сорс IP, порт и размер пакета рендомны. Только просить вышестоящего провайдера фильтровать у себя и выше передавать по цепочке. Фильтровать вышестоящие провайдеры смогут только по dst IP жертвы до того времени, пока поток сам собой не прекратится.

[vokforever 3]

Выяснил сегодня, все же ложится канал у провайдера.

У соседа тоже интернета нет при атаках.

[Melanxolik 63]

Берите микрот или pfsens, разгребайте до L7 и по regexp тупо блочите пакет, всех этих ddos один и тот же запрос внутри.

[Nikolay_ 0]

Думаю, Вам никакая железка не поможет в случае забивания канала. Думаю, только совет от kha0s может Вам помочь, если еще провайдер захочет таким заниматься...