где фильтровать синфлуд?! кто фильтрует ддос?

123 4
[Удален]
4158

вплоть до 1Mpps син-флуда со спуфингом, оверсан-меркурий/луна со своими супер фильтрами падает(тех.поддержка неделю что-то настраивает и всегда говорит что уже вот-вот должно работать, работает часов 10 потом опять вливают син-флуд и все стоит:( ), аналитеческую защиту не пробовали, но не думаю что поможет=( драгонара падала моментально. софтовые решения тут не помогают. ддос-офф не фильтруют игровые сервера, только web:( ddos-protection работают только с юр.лицами(((

нужно фильтровать именно игровой траффик, какие варианты есть еще?

пинг из msk-ix должен быть не больше 50!

чистый канал нужен 30мбит максимум.

желательно пробросить туннель до игрового сервера.(open-vpn), на крайний вариант проксирование.

Sky-hosting
На сайте с 21.10.2009
Offline
149
#1

Доброго времени суток, что за игра?

VPS за 100 рублей с ISPmanager (http://sky-hosting.ru/uslugi/hosting-vps/) / Сервер с администрированием за 1200 рублей(Москва) (/ru/forum/comment/11195769) Наша тема (/ru/forum/511490) ICQ:611864224 E-Mail:support@sky-hosting.ru Тел:+7(499)918-67-15
[Удален]
#2
Sky-hosting:
Доброго времени суток, что за игра?

не поверите....))))

да, да, самая мерзкая, та самая, которую не любят почти все хостеры, самая злобная в плане нечестной конкуренции, самая-самая л2

zexis
На сайте с 09.08.2005
Offline
388
#3

Для начала попробуйте все таки софтовые решения, так как они просты и дешевы.

А если не помогут, то ищите фильтрацию.

1) включить синкуки, подкорректировать параметры стека TCP/IP

echo '1' >/proc/sys/net/ipv4/icmp_echo_ignore_all

echo '1'>/proc/sys/net/ipv4/tcp_syncookies

echo '1'>/proc/sys/net/ipv4/tcp_synack_retries

echo '60'>/proc/sys/net/ipv4/tcp_keepalive_time

echo '10'>/proc/sys/net/ipv4/tcp_keepalive_intvl

echo '3'>/proc/sys/net/ipv4/tcp_keepalive_probes

echo '15'>/proc/sys/net/ipv4/tcp_fin_timeout

2) Ограничить количество запросов и коннектов с одной подсети

iptables -I INPUT -p tcp --syn -m connlimit --connlimit-above 10 --connlimit-mask 24 -j DROP

iptables -I INPUT -p tcp --syn -m hashlimit --hashlimit-above 1/second --hashlimit-burst 5 --hashlimit-mode srcip --hashlimit-srcmask 24 --hashlimit-name blip -j DROP

3) поставить скрипт, который будет

-каждую минуту запускать netstat –n

- подсчитывать количество коннектов с каждой подсети

- банить подсети из которых коннектов более лимита

Могу вам такой скрипт поставить.

Команды, которые я привел выше, это ориентировочные их нужно подбирать экспериментально.

Andreyka
На сайте с 19.02.2005
Offline
822
#4

У меня очень большой опыт по защите от атак той самой игры

Обращайтесь погляжу, что можно сделать

Но как показывает практика - залог успеха правильный хостер

Не стоит плодить сущности без необходимости
[Удален]
#5
zexis:
Для начала попробуйте все таки софтовые решения, так как они просты и дешевы.
А если не помогут, то ищите фильтрацию.

1) включить синкуки, подкорректировать параметры стека TCP/IP

echo '1' >/proc/sys/net/ipv4/icmp_echo_ignore_all
echo '1'>/proc/sys/net/ipv4/tcp_syncookies
echo '1'>/proc/sys/net/ipv4/tcp_synack_retries
echo '60'>/proc/sys/net/ipv4/tcp_keepalive_time
echo '10'>/proc/sys/net/ipv4/tcp_keepalive_intvl
echo '3'>/proc/sys/net/ipv4/tcp_keepalive_probes
echo '15'>/proc/sys/net/ipv4/tcp_fin_timeout

2) Ограничить количество запросов и коннектов с одной подсети

iptables -I INPUT -p tcp --syn -m connlimit --connlimit-above 10 --connlimit-mask 24 -j DROP

iptables -I INPUT -p tcp --syn -m hashlimit --hashlimit-above 1/second --hashlimit-burst 5 --hashlimit-mode srcip --hashlimit-srcmask 24 --hashlimit-name blip -j DROP

3) поставить скрипт, который будет
-каждую минуту запускать netstat –n
- подсчитывать количество коннектов с каждой подсети
- банить подсети из которых коннектов более лимита
Могу вам такой скрипт поставить.

Команды, которые я привел выше, это ориентировочные их нужно подбирать экспериментально.

спасибо конечно, но это 1000Kpps почти, такое явно не поможет, пробовали:(

Andron_buton
На сайте с 19.07.2007
Offline
270
#6
mikmik:
спасибо конечно, но это 1000Kpps почти, такое явно не поможет, пробовали:(

1000 Kpps это надо 3 интеловских сетевушки чтобы это принять.

ENELIS
На сайте с 29.08.2008
Offline
194
#7

Не обязательно. Нормально интеловская сетевушка 750 держит.

1000 не встречали, но 750-500 без проблем проходит с яндекс дровами под бсд.

С Уважением, ServerAstra.ru (https://serverastra.com) - VPS и выделенные сервера в Будапеште по выгодным ценам!
Andron_buton
На сайте с 19.07.2007
Offline
270
#8
ENELIS:
Не обязательно. Нормально интеловская сетевушка 750 держит.
1000 не встречали, но 750-500 без проблем проходит с яндекс дровами под бсд.

500 еще видел, но 750 - сомневаюсь, поэтому и говорю чтобы с запасом надо 3, это если мы говорим о гигабитных сетевушках, 10Г и одной хватит.

deltahost.com.ua
На сайте с 09.09.2010
Offline
130
#9
zexis:
Для начала попробуйте все таки софтовые решения, так как они просты и дешевы.

Вы отдаете себе отчет что делаете, когда советуете фильтровать поток 1MPPS софтовыми(!) решениями?

VPS (http://deltahost.ua/vps.html) и Аренда сервера (http://deltahost.ua/dedicated.html) в США, Нидерландах, Украине. Extra IPv4 - $2 Неизменное премиум качество с 2008-го года!
I8
На сайте с 17.05.2010
Offline
99
#10

ИМХО. Сины надо отсекать на роутере.

Но вот 1mpps на не каждый роутер вытянет.

123 4

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий