alex_o Posted January 18, 2015 Posted January 18, 2015 а чтобы завалить провайдера заказывают ддос у людей с погонами.А ну поподробней? Мсье россиянин) Зомбанутый? http://local.com.ua/forum/topic/63575-%D0%BE%D0%B1%D1%8B%D1%81%D0%BA-%D0%BE%D0%BF%D0%B5%D1%80%D0%B0%D1%82%D0%BE%D1%80%D0%B0-%D0%BF%D1%80%D1%8F%D0%BC%D0%BE-%D1%81%D0%B5%D0%B9%D1%87%D0%B0%D1%81-%D0%BA%D0%B0%D0%BC%D0%B5%D0%BD%D0%B5%D1%86-%D0%BF%D0%BE%D0%B4%D0%BE%D0%BB%D1%8C%D1%81%D0%BA/ у этого мсье спросите, может он тоже россиянин?
oksy Posted January 18, 2015 Posted January 18, 2015 Может причина в том, что Вы хостер? Кому надо ддосить 30-ю Г адреса домоюзеров? - разве что в виде отладки бот-нета или просто поприкалываться. В этой стране чтобы завалить хостинг заказывают ддос у хакеров, а чтобы завалить провайдера заказывают ддос у людей с погонами. Ну на счет хостера вы частично угадали... :-) Было дело, что на меня лилось гиг 50 наверное... Лилось так, что и провайдеру чуть не поплохело. Слава богу провайдер (европейский кстати) оказался адекватным и мы общими усилиями победили ту ситуацию. Просто из общения с тем провайдером, он говорил, что подобные ддосы ОЧЕНЬ дорого стоят, поэтому поливать таким ддосом могут только те, у кого денег куры не клюют... Я честно говоря, даже не знаю чем я так кому-то насолил. Вроде все тихо и мирно было. Давно это было правда, но в памяти у меня этот ддос отложился надолго.
loki Posted January 18, 2015 Posted January 18, 2015 а чтобы завалить провайдера заказывают ддос у людей с погонами.А ну поподробней? Мсье россиянин) Да нуна ). Дело в том, что у нас в Украине, у магистралов и на точках обмена не фильтруются досы, ибо дорогие железки нужны. И так сложилось, что провайдер с каналом больше 1Гбита, может "положить" флудом того, у кого до 1Гбита. Это реальность. А вот про ментов и ддос, это конечно оч интересно.
alex_o Posted January 18, 2015 Posted January 18, 2015 (edited) А вот про ментов и ддос, это конечно оч интересно. Во-первых, с погонами бывают далеко не только менты. Во-вторых, в этой фразе "ддос" - в переносном смысле конечно же. Там ключевая фраза "завалить провайдера". Edited January 18, 2015 by alex_o
ttttt Posted January 18, 2015 Posted January 18, 2015 Просто из общения с тем провайдером, он говорил, что подобные ддосы ОЧЕНЬ дорого стоят, поэтому поливать таким ддосом могут только те, у кого денег куры не клюют...А с чего вы взяли, что провайдеру известно по чем ддосы? Провайдеры обычно ддосами не торгуют.Дешево сейчас ддосы, очень дешево и именно эта дешевизна и есть проблемой ддосов последних лет.
zulu_Radist Posted January 18, 2015 Author Posted January 18, 2015 оба аплинкера отказались помочь, сказали к вам льется трафик ипитесь с ним как хотите
ttttt Posted January 18, 2015 Posted January 18, 2015 Дело в том, что у нас в Украине, у магистралов и на точках обмена не фильтруются досы, ибо дорогие железки нужны.Это общемировая практика. Ближайший магистрал, который фильтрует ддосы - в Румынии.
loki Posted January 18, 2015 Posted January 18, 2015 (edited) Дело в том, что у нас в Украине, у магистралов и на точках обмена не фильтруются досы, ибо дорогие железки нужны.Это общемировая практика. Ближайший магистрал, который фильтрует ддосы - в Румынии. Печаль. Знаю есть пару сервисов на Парковом, которые предоставляют сервис по фильтрации ддосов Edited January 18, 2015 by loki
alex_o Posted January 18, 2015 Posted January 18, 2015 оба аплинкера отказались помочь, сказали к вам льется трафик ипитесь с ним как хотите Можно еще попытаться попросить у аплинкеров QoS. Пусть поставят наихудший приоритет в аплоаде на Вас трафику UDP за исключением DNS. Тогда во время ддоса у Вас пакет-лос будет на трафике торрентов и ддоса.
ttttt Posted January 18, 2015 Posted January 18, 2015 оба аплинкера отказались помочь, сказали к вам льется трафик ипитесь с ним как хотитеНу тогда остается только один вариант: туннель с кем-то, кто фильтрует и роутить адрес через них при атаке. Может к румынам напрямую и обратитесь.
KaYot Posted January 18, 2015 Posted January 18, 2015 оба аплинкера отказались помочь, сказали к вам льется трафик ипитесь с ним как хотите Вы для начала со своей маршрутизацией разберитесь, ибо вполне возможен вариант "клиент с торрентом отключился, а на его IP еще полчаса с кучи адресов по UPD торренты долетают". А у вас трафик флапает ибо блекхола на неиспользуемые адреса нет. Если тут все в порядке - садите админа искать источники трафика(дампом как вы и смотрели) и резать их блекхолом на аплинках. Нужно по№$%ся, но это единственный рабочий вариант.
martin Posted January 18, 2015 Posted January 18, 2015 Никакой админ не поможет, удп атака это жопа ) Кстати - что за аплинки такие что отказались помочь ?? Анука в студию названия, страна должна знать своих героев !!! Дропанье этой атаки на насе или бордере ничем не поможет. Есть пару хитрых вариантов, завтра позвоню и проконсультирую.. Но опять же все очень индивидуально. Основной метод - блекхол на аплинках и дедуктивный метод )), все остальное до лампочки
loki Posted January 18, 2015 Posted January 18, 2015 (edited) to martin А ну кэп, проконсультируйте и нас, что за метод дедукции у вас там ? Никакой админ не поможет, удп атака это жопа UDP флуд это самое, что не на есть примитивное . Анука в студию названия, страна должна знать своих героев !!! bgp.he.net говорит, что это : AS35320 - Евротранстелеком AS62028 - микс Telenet-а и Евротрансетекома Основной метод - блекхол на аплинках Так ааа... Edited January 18, 2015 by loki
md5 Posted January 18, 2015 Posted January 18, 2015 Та блин. раздули фиг знает что.. голова и руки спасет
md5 Posted January 18, 2015 Posted January 18, 2015 net.inet.tcp.delayed_ack=0 kern.ipc.nmbclusters=400000 kern.ipc.maxsockbuf=83886080 net.inet.icmp.icmplim=100 kern.maxfiles=60000 net.inet.ip.fastforwarding=0 net.inet.ip.intr_queue_maxlen=5000 #kern.ipc.nmbclusters=400000 kern.ipc.maxsockbuf=8388608 net.inet.tcp.sendspace=3217968 net.inet.tcp.recvspace=3217968 net.inet.tcp.rfc1323=1 net.inet.tcp.blackhole=1 net.inet.udp.blackhole=1 net.inet.ip.fw.verbose=1 net.inet.ip.fw.verbose_limit=1500 dev.igb.0.rx_processing_limit=4096 dev.igb.1.rx_processing_limit=4096 dev.igb.0.enable_aim=0 dev.igb.1.enable_aim=0 net.route.netisr_maxqlen=4096 kern.ipc.nmbufs=231085 kern.ipc.somaxconn=1024 kern.ipc.maxsockbuf=83886080 kern.ipc.maxsockets=131072 net.inet.ip.intr_queue_maxlen=5000 net.inet.ip.intr_queue_drops=0 net.inet.ip.redirect=0 net.inet.ip.fw.one_pass=0 net.inet.tcp.blackhole=2 net.inet.udp.blackhole=1 net.inet.icmp.bmcastecho=1 net.inet.icmp.drop_redirect=1 net.inet.icmp.log_redirect=1 #kern.ipc.nmbclusters=131072 net.link.ether.inet.log_arp_permanent_modify=0 net.link.ether.inet.log_arp_movements=0 net.link.ether.inet.log_arp_wrong_iface=0 net.link.log_link_state_change=0 dev.igb.0.rx_processing_l imit=4096 dev.igb.1.rx_processing_limit=4096 dev.igb.2.rx_processing_limit=4096 dev.igb.3.rx_processing_limit=4096 net.inet.ip.fw.one_pass=0 курите дальше
loki Posted January 18, 2015 Posted January 18, 2015 Товаришь md5 дает рекомендации по бездумному тюнингу сетевой подсистемы.Зачем ? Чтоб "ддоса больше влазило" ))
md5 Posted January 18, 2015 Posted January 18, 2015 курите дальше http://coub.com/view/5gv2dxni Великий гуру админ loki отбивал дос, и дает рекомендации...
kha0s Posted January 19, 2015 Posted January 19, 2015 Резюме для закрепления в шапке темы - UDP DDOS без поддержки аплинка не задушить (blackhole community это именно поддержка аплинка, причем самая оперативная). Остальные рассуждения от лукавого.
Ajar Posted January 19, 2015 Posted January 19, 2015 (edited) Л3 коммутатор опускает процедуру блехола на аппаратный уровень, имхо лучшее решение выставлять комьнити апстримам Edited January 19, 2015 by Ajar
pavlabor Posted January 19, 2015 Posted January 19, 2015 друзья, все очень круто, спасибо но я думаю надо копать в другую сторону никто не обратил внимание на одну важную вещь адрес на который прет трафик по сути не доступен и надо я так понял дать отлуп что хоста нет, трафик иди нах) бордер у него статик роут что такой то пул адресов за этим насом в момент атаки адрес который подвергается атаке не выдан никакому клиенту, тоннель не поднят с таким внешним адресом, хоста нет! может на НАСе надо ковырнуть или файрвол или sysctl чтобы он говорил епона мать destination host unreachable отвали нафик Посмотри сколько времени прошло с освобождения адреса. адрес был выдан сегодня трем разным пользователям дата время время_аренды передано получено 2015-01-18 17:45:12 00:07:17 2.32 Kb 6.28 Kb 2015-01-18 17:04:12 00:03:34 543.66 Kb 370.21 Kb 2015-01-18 08:31:59 07:05:13 206.03 MB 11.30 GB Понаблюдай, после освобождения ип, трафик может литься еще час, в основном по UDP. Размер трафика не существенный, но он есть. Клиенты жалуются, что скорость падает, потому как у них в основном стоят бюджетные роутеры, и данный трафик может ложить нат у клиента. При чем, это наблюдается даже когда клиент перегружает роутер, но получает старый адрес. На аппаратных серваках, нагрузка на проц поднимается до 10 и более АВ, роутер не подвижный. Спасает ситуация правило которое я дал, после этого все отпускает. Сама атака может быть 5-10 минут, но может лупить и час или два. Посмотри trafshow, реальную нагрузку на конкретный IP, может там вопрос выеденного яйца не стоит.
Recommended Posts
Create an account or sign in to comment
You need to be a member in order to leave a comment
Create an account
Sign up for a new account in our community. It's easy!
Register a new accountSign in
Already have an account? Sign in here.
Sign In Now