как грамотно защитить nginx от ddos

На сервере 17 сайтов, и вроде zexis настраивал лимиты отдельно для самых посещаемых где-то через 3-4 дня после первоначальной установки...

Я думаю что это конечно же не ддос, а банит разных бредоботов, спам ботом и прочую ползающую по сети нечесть...

Сейчас проверил по логам работу защиты на сервере у Dram.

Посещаемость его сайтов высокая.

Нормальных пользователей среди забанных не увидел.

Защита банит

1) быстрые граберы сатраниц.

2) IP шлющие явно аномальный трафик.

Ну, пардон - для 17-ти сайтов это совершенно очевидно ложные срабатывания. Вот если б было хоть несколько сотен (как я полагал)...

Ну-ну... Поисковых ботов, сапу, провайдеров с пользователями за натом и офисные шлюзы... "Ты не думай - ты верь" (с)

Да куда уж там "высокая" - 100 k суммарно. Менее 10k на "сайт" (17 шт.). И при этом ~1k банится ежедневно.

Действительно, выглядит как мини ddos-атаки (по количеству), если бы это не было смешно.

Вот данные за последнюю неделю. Для подсетей ПС и сапы есть белый список.

Все сайты находятся в кабинетах вебмастеров Гугла и Яши - проблем с индексацией нет. До установки защиты сервер падал/зависал 3-4 раза в месяц. Сейчас уже пол года все ок

Пользователю нужно очень постараться, что бы его забанила моя защита с хорошо подобранными лимитами.

Например, на клики к страницам в отсутствии ддоса установлены лимиты около 150 кликов за 2 минуты.

Даже 5 пользователей за натом с одного IP, одновременно ходящие по сайту, мало вероятно, что превысят этот лимит.

Анализатором банится различная вредоносная повышенная активность.

Например, на 20 секунд нажать кнопку F5 в браузере. При этом браузер шлет запросы со скоростью 10 запросов в секунду.

Или запустить быстую скачивалку сайта.

В этих случаях он попадет в бан вполне обоснованно.

Тем не менее за работой защиты нужно следить и регулярно смотреть кто ушел в бан.

С помощью grep находить запросы забаненных IP, смотреть пользователи это, ддос боты или поисковики и при необходимости корректировать лимиты или обновлять белый список.

Я доволен эффективностью обнаружения ботов моим анализатором.

Myhand, вы все критикуете, а альтернатив ни каких не предлагаете.

Абсолютно уверен, что этого можно было бы достич более адекватными методами. Т.е. лимитированием числа запросов, ограничениями потребления ресурсов и т.п. В общем, о чем я писал выше - не скармливать серверу больше того, что он сможет переварить.

Поймите, 1% всех хостов в сутки (судя по вашим отчетам о посещаемости в 100000) - это *много*. Яша и сапа в это не попадают - ну отлично, вам повезло. Но есть еще куча других индексеров. Провайдеры с пользователями за NAT, да масса еще всего...

Альтернативу, пардон, чему? Тому, как 1% посещающих хостов отправляются нафиг? Да влегкую: см. выше.

Могу также предложить вашему пользователю выложить с десяток случайных IP из забаненных.

Своими глазами систему zexis я не видел, но судя по его описанию продумана она хорошо.

А вы, myhand так же как и вы Den73, собственно как и добрые 90 % данного форума только

придераетесь и гадите в темах конкурентов. Хотя, стоп, какие же мы с вами конкуренты?

Где же ваши темы с предложением услуг? Что-то не видно... Ума, как я понял, хватает лишь на

разведение "святых войн". Den73, вы спрашивали за что люди платят деньги? Я отвечу - за

грамотную настройку всех компонентов своего проекта. Скрипты мои сами по себе ничего не дают.

без соответствующих настроек будет работать лишь 1 часть защиты, и не факт что правильно.

Пусть её реализация совершенно иная чем вы себе представляете, но она работает и работает качественно

защищая при этом уже достаточное кол-во проектов, жалоб от владельцев которых никогда не поступало.

насчет ограничения потребления ресурсов, это я сделал и теперь сервер во время атаки не падает и с ним можно прекрасно работать. пока что тестирую схему с включением во время атаки модуля тест куки. На данный момент наткнулся на проблему:

Бот частично умеет интерпритировать яву, поэтому ддос бот успешно обходит скрипты

более сложные скрипты приведенные на хабре и скрипт приведенный в документации самого модуля почему то не работают (возможно я криворукий).

скрипт

почему то не устанавливает куки, хотя настроен по официальной документации.

<html><body><script>function bla() { document.cookie="BPC=$testcookie_set";document.location.href="$testcookie_nexturl";}</script><input type="submit" value="click me" onclick="bla();"></body></html>

:) я же вам сразу написал, херня cookie.

если хотите качественную защиту то нужно делать само обучаемые фильтра и ловушки.

---------- Добавлено 24.12.2012 в 14:21 ----------

Evas

я у вас в теме не гадил, работаете - работайте, у zexis защита не идеал но на фоне аналогичных поделок от других авторов у него хоть что то внятное и гибкое.

тс-у наоборот уже дал много советов.

вы мне не конкурент, я защищаю от любого ддос, в данный момент бесплатно)) 🍿 даже от интеллектуального.

Вот именно. Конкурировать с вами - все равно что с бомжом...

А зачем? Мне нравятся люди, которые умеют немного думать своей головой. Для них - найти меня труда не составляет.

Статистика работы фильтров zexis в данном случае - действительно странная. Я предложил как можно проверить.

Это не "херня", но и не универсальная штука. ТС - смотрите ошибки js. Если что-то не работает - треба отладка...