Вариант защиты от ддоса

спасибо

да мы сами большую часть секретов не скрываем... у нас есть громаднейшая куча фильтрующего оборудования на базе собственного ПО, которая располагается во множестве вкусных мест. наше адресное пространство анонсируется на уровне BGP фактически из каждой точки присутствия, что видно по трейсам и по as path на различных looking glass-ах. пришли мы к этой схеме не из-за того что не можем фильтровать всё в едином месте, а из-за желания сделать систему более надежной. в 2007 году из-за ддос-ов мы валялись суммарно не более суток, а вот из-за различных человеческих факторов со стороны сотрудников надежных ДЦ в разы больше. так же были случаи пропадания связи между местом из которого мы подавали прокси/туннель и местом присутствия клиента, иногда очень продолжительные. касаемо канального уровня на данный момент у нас уже под тысячу пиров, а к весне мы достигнем обещанных полторы-двух. в некоторых местах присутствия при выставлении нужного community на анонсируемую сеть трафик заворачивается через систему на базе cisco guard, но по известным причинам мы этим не пользуемся.

так же наш сервис используют ряд компаний для балансировки трафика между своими backend т.к. мы можем обеспечить более десяти фронтов по всему миру видимых из под одного IP адреса... и что самое ценное мы можем устанавливать такие фронты в свои стоечные емкости за умеренные деньги, в т.ч. и за трафик (от 5 до 50EUR за 1mbit CIR, в зависимости от точки присутствия).

ps. надеюсь скоро у нас будет свой сайт и мы на нем все красиво нарисуем...

kostich добавил 24.02.2008 в 10:15

что пошлют то и будет лететь: syn-ack flood, rst flood, fin flood и т.д...

ps. а еще есть специализированные атаки на syn cache или syn cookie... для некоторых ОС достаточно 10 мегабит хорошего спуфленого флуда и полный кирдык.