Предлагаю решение, защищающее от DDOS.

zexis, не обижайтесь, но вы сделали велосипед. с квадратными колесами :)

советую вам обратить внимание на nginx, модули:

http://sysoev.ru/nginx/docs/http/ngx_http_limit_zone_module.html

http://sysoev.ru/nginx/docs/http/ngx_http_limit_req_module.html

+ отдельно настроенные под разные location (статика, динамика, тяжелая динамика)

+ whitelist для некоторых IP/подсетей (зависит от специфики сайта, скажем, WAP-сайт).

заинтересует - обращайтесь.

myhand, cпасибо за комментарий.

Да согласен.

Это мое упущение, что я до сих пор не освоил nginx.

Уверен, в нем много возможностей для борьбы с ддос

Надо будет его обязательно поставить и изучить.

Есть у меня такая дурацкая черта характера – месяц потратить на написание своей программы, вместо того что бы потратить пару дней не изучение готового продукта.

myhand, тем не менее, нет ничего гибче своей программы, которую можно быстро дописать при новом типе атаки.

у меня вот тоже была пара велосипедов с квадратными колесами, есличо.

Круто, чо.

Правда, такая же программа на шелле занимает три строки.

Все это решается на уровня файрвола без всякого юзерленда.

netwind, nginx и есть "своя программа". для адаптации под атаки нужны определенные усилия.

zexis, если есть время и "дурацкая черта" - аналог nginx-модуля limit_req

для апача был бы интересен, думаю, многим ;)

а если нужна конструктивная критика - покажите код. как правильно заметил

Outsourcenow, подобный алгоритм на shell пишется "наколенке" в три строчки.

myhand добавил 02.12.2009 в 19:43

с вами уже это обсуждали не так давно:

/ru/forum/410019

присутствующие здесь Outsourcenow и netwind

кстати тоже окрестили эту идею чушью :)

myhand, некоторым примитивные условия модуля nginx кажутся недостаточно гибкими .

Что ж так мало то охотников править nginx?

Потому, что он "чужой". Да еще и на C. Да еще и в непопулярной модели конечного автомата написан.

Я такой скрипт тоже делал, только у меня в виде "демона", поэтому написан не на шеле. У меня программа в реальном времени отлавливает подключения. Работает и на линуксе и на FreeBSD. Просто достаточно перекомпилировать, а программа при запуске определит систему и будет пользоваться либо iptables, либо ipfw.

Но эти алгоритмы отлова не достаточно эффективны, хотелось бы реализовать программно основные алгоритмы "железных" фаерволов. Т.е. точнее определять паразитный трафик. Возможно использовать программу в паре с nginx, чтобы принимались меры по защите атакуемого сайта автоматически.

Мыслей много, но что-то я перестал этим заниматься уже давно.

там _много_ модулей. проверка cookies, рефереров, там кеширование и еще куча разных плюшек.

нет, это не "готовый" рецепт. но доведение его до рабочего состояния для каждого конкретного

сайта - задача на порядок менее безнадежная, чем написание "своего" решения.

апи нестабильный. может в этом дело. а охотники есть, на недавнем хайлоаде

был доклад достаточно большой на эту тему.

Если кто-то уже постарался до вас и снабдил nginx функционалом.

А в общем случае для программиста игра по чужим правилам всегда сложнее. Вы просто не программист, наверное.

Himiko, железных фаерволов не бывает. Там внутри процессор(-ы) pc-класса. "Встраиваемые" не справляются.

Но бывают еще карты для быстрого анализа данных на ПЛИС. Возможно есть и отбрасыватели трафика на тех же ПЛИС, но процессор то тот же и алгоритмы вполне воспроизводимые должны быть.