3ащита apache

Alexei42:
Делаем IDS на кластере из сонек? :)

kostich:
многие тут скажут, что вот они отбивали атаку с 6-7тыс ботов... замечу, что это просто ддос-еры тупанули... если бы с 6-7 тыс ботов зарядили синфлуд или syn/ack, то канал бы накрылся моментом... а если тупой флуд, то конечно можно на апаче отбивать различными модулями... с некоторых ip вваливают аж по 5kpps...

зы. тема стара как ip...

Andreyka:
У меня nginx кушает одновременно и по 8k конкурентных запросов, при этом LA на ксеоне выше 4 не идет.

Andreyka:

А синфлуд убивать - не писюковое дело, это циски/фортигейты пусть кушают

Andreyka:
На железке/файре вписываем лимит конкурентных коннетов и не переживаем за таймауты
http://www.radware.com/content/products/dp/default.asp, цены начинаются от 12,500

kostich:
а nginx софтина хорошая... правда от ddos она мало чем спасает...

в sysctl

kern.maxfiles=90000
kern.maxfilesperproc=80000
net.inet.tcp.blackhole=2
net.inet.udp.blackhole=1
kern.polling.burst_max=1000
kern.polling.each_burst=50
net.inet.tcp.msl=10000
kern.ipc.somaxconn=32768


в nginx моменты

worker_processes 1;
worker_rlimit_nofile 80000;
events {
worker_connections 50000;
}

server_tokens off;
log_format IP '$remote_addr';
reset_timedout_connection on;

listen xx.xx.xx.xx:80 default rcvbuf=8192 sndbuf=16384
backlog=32000 accept_filter=httpready;


фильтрацию url например по критерию POST index.php?action=login с пустым
реферером можно реализовать так

set $add 1;
location /index.php {
limit_except GET POST {
deny all;
}
set $ban "";
if ($http_referer = "" ) {set $ban $ban$add;}
if ($request_method = POST ) {set $ban $ban$add;}
if ($query_string = "action=login" ){set $ban $ban$add;}
if ($ban = 111 ) {
access_log /var/log/nginx/ban IP;
return 404;
}
proxy_pass http://127.0.0.1:8000;#тут живёт апач
}


ну и по крону уже раз в минуту добавлять в ipfw table новые ИП из лога

25Мбитный DDoS, преимущесвенно режущийся ipfw, остатки проходят на
nginx, который по критерию обучает ipfw и остатки проксирует на апач -
LA 0, сайт работает.

Чуть более мощный сервер на гигабитном Realtek re и 100Мбит порту с
поллингом загибался от pps где-то до 20Мбит

Будьте готовы, что при атаке в системе закончатся сокеты для соединиея
nginx - backend. Так что я бы добавил

sysctl net.inet.tcp.msl=3000 - уменьшаем время TIMEWAIT
sysctl net.inet.tcp.maxtcptw=40960 - ограничиваем количество TIMEWAIT сокетов
sysctl net.inet.tcp.nolocaltimewait=1 - отключаем TIMEWAIT для локальных сокетов.
sysctl net.inet.ip.portrange.first=1024
sysctl net.inet.ip.portrange.last=65535
sysctl net.inet.ip.portrange.randomized=0


Дальше резали на уровне pf - загружали в таблицу IP с которых
приходило слишком много хитов. PF с таблицами работает очень быстро.
Исходники парсера логов есть на http://www.comsys.com.ua/files

Jooz:
Зависит пожалуй от /dev/голова
Один из вариантов, не панацея конечно но суть ясна:

backlog=32000