Ддос атака на сетевые ресурсы?

По скрину не понятно что грузит одно ядро процессора!

Посмотрим 15 процессов с большой нагрузкой на процессор.

ps -eo %C%p%u%c --sort %cpu | tail -n15

ps -eo %C%p%u%c --sort %cpu | tail -n15

Сейчас атаки нет. Как появится попробую ввести команду. В том то и дело, через htop не показывает что именно грузит. Просто в момент атаки одно ядро на 100% и всё, сеть сразу не работает. Всё остальное работает.

В общем есть предположение что это была ICMP атака.

Погуглите softirq, что это такое и с чем едят :)

Просто прерывания сетевухи весят на одном ядре а их надо разнести равномерно

Спасибо, да почитал. Мало что понял но суть такова что ресурс сетевой карты использует одно ядро. И как я понял идёт атака на данынй ресурс, карта забивает очередь что увеличивает нагрузку на ядро? Вообще мало что вкуриваю извините далёк от этого.

---------- Добавлено 15.06.2020 в 14:23 ----------

Да я так и понял.

Спасибо ещё раз подсказали, проблема стала более понятной. Вот оно как бывает и какой дос, на сетевую карту. Никогда бы не догадался.

---------- Добавлено 15.06.2020 в 14:45 ----------

Сейчас думаю как лучше всё устроить на сервере.

На одном сервере форум 443. на втором сервере игровой проект+сайт на 80 порту.

Подумываю на первый сервер перенести все сайты форум и игровой сайт ( игровой сайт дистанционно подключать к базе второго сервера).

На втором сервере оставить только игровой проект без сайтов.

Будет ли это рациональным решением?

В данном случае маловероятно, что размазывание прерываний по ядрам будет работать. Точнее, они не смогут быть нормально разнесены. Без внешней защиты такое не вывозится обычно. Можно потюнить сетевой стек, но это даст выигрыш максимум в десяток процентов по производительности сетевой, что проблему не решает совершенно. Бюджетное железо не располагает к защите от ддос совершенно.

---------- Добавлено 16.06.2020 в 14:32 ----------

Изначально - да, так и нужно было поступить.

Ну мы сейчас закрыли весь udp трафик, остались только tcp порты игровые 80 и 443. Их я блокирую через Iptable как вижу много запросов с ип. Вроде работает. Но бывает что так таковой атаки нет, трафика мало, запросов частых нет. А ядро всё равно на 100%. Соответственно сеть не работает. Не знаю как эту проблему решить.

подключать нормальную платную ддос защиту не от maerdev_балкон_компани.

я практически убежден что это или ACK или SYN атака

tcpdump бы это явно показал.

так же если ожидаются ддосы стоит брать сервера с сетевыми картами с 4+ количеством RSS , бытовой шлак в 99% имеет 1, максимум 2 очереди. Этого недостаточно.

DoS/DDoS это отдельная наука, изучить глубоко вопрос за 3 дня и гугла, не получится.

Я это прекрасно понимаю и уже заказал, точнее консультируюсь по подключении ддос защиты. Но это чисто для себя.

Сейчас глянул. Опять 100% ядро сеть не работает. Запросов не больше 3-х с кажого ип к серверу. Самих запросов не много.

Хостер отписал атака шла по протоколам GRE/ESP.

Вот я не понимаю как решить эту проблему. На сервере я не вижу ни запросов ни от кого, ни нагрузки. Но ядро под сотку.

Не подскажите как отслеживать эти ACK или SYN атаки или как они проявляются? Мб мануал какой почитать, в инете обширно всё ничего не понял.

---------- Добавлено 16.06.2020 в 20:39 ----------

Попробую перехватить пакеты как будет атака. Скину сюда возможно развеет проблему )