Что лучше iptables или ip route add blackhole ?

M
На сайте с 30.07.2009
Offline
52
4131

Что использовать предпочтительно с точки зрения скорости и ресурсов для бана ботов по ip. Вообще.

И в частности на примере:

Linux debian.

В блек листе ~3000 ip адресов прямых и около 100 по маске(NNN. NNN. NNN. NNN /NN).

Забаненные боты пытаются обратится по http примерно 300 раз в секунду.

Как лучше было бы добавить этих ботов?

Так:

ip route add blackhole NNN. NNN. NNN. NNN /NN
ip route add blackhole NNN. NNN. NNN. NNN
или так:

iptables -A INPUT -s NNN. NNN. NNN. NNN /NN -j DROP
iptables -A INPUT -s NNN. NNN. NNN. NNN -j DROP

Возможно, это зависит от настройки сервера? Какие ещё условия нужно знать для определения ответа не знаю. Если надо выложу.

Andreyka
На сайте с 19.02.2005
Offline
820
#1

Лучше ipset

Не стоит плодить сущности без необходимости
M
На сайте с 30.07.2009
Offline
52
#2
Andreyka:
Лучше ipset

почему ?

Кто из них троих ближе к "входу" ?

К примеру , на сервере используются все 3 способа. Мы забанили Ip всеми тремя. Кто первый его остановит?

Den73
На сайте с 26.06.2010
Offline
523
#3

для 3к без разницы, если больше то конечно ipset.

foxi
На сайте с 02.03.2011
Offline
877
#4

Я до 10к банил через iptables на средненьком сервере. Норм было. Но больше 10к не приходилось.

Антибот защита для сайта (https://antibot.cloud/ru.html#searchengines) (защита от кражи контента и спама) | ВебМастерские микроблоги (https://wmsn.biz/#searchengines) | Фокси SEO форум (https://foxi.biz/#searchengines)
M
На сайте с 30.07.2009
Offline
52
#5

Я так понял, ipset лучше когда речь идет о нагрузке на процессор и только?

В чём ещё он лучше?

Вопрос также касается входящего трафика генерируемого забанеными ip адресами.

Думаю, даже забаненый бот генерирует какой то входящий трафик.

Какова разница между этими тремя способами?

M
На сайте с 30.07.2009
Offline
52
#6
mirrustam:


Вопрос также касается входящего трафика генерируемого забанеными ip адресами.
Думаю, даже забаненый бот генерирует какой то входящий трафик.
Какова разница между этими тремя способами?

ну, так как я сам разобрался, сам отвечу.

А вдруг кому нибудь в голову тоже придёт этот вопрос.

В моём случае после ip route del blackhole внешний паразитный трафик уменьшился в сотни раз. Может даже в тысячи. Практически сошёл на нет.

По секундам не скажу, но в час было около 10-20 Гигабайт

А так всё понятно.

Всем спасибо за помощь!

T
На сайте с 09.12.2011
Offline
55
tls
#7
Den73:
для 3к без разницы, если больше то конечно ipset.
foxi:
Я до 10к банил через iptables на средненьком сервере. Норм было. Но больше 10к не приходилось.

ТС спрашивал про сервер, интересует то же самое для VPS. Возьмем самые популярные VPS: OpenVZ 1 ядро, 512-1024Мб и XEN 1 ядро, 512-1024Мб. Сколько правил потянет iptables в каждом конфиге или хотя бы сколько он точно должен потянуть (100, 200, 500, 1к, больше), и что оптимальнее для этих VPS iptables или route?

Den73
На сайте с 26.06.2010
Offline
523
#8
tls:
ТС спрашивал про сервер, интересует то же самое для VPS. Возьмем самые популярные VPS: OpenVZ 1 ядро, 512-1024Мб и XEN 1 ядро, 512-1024Мб. Сколько правил потянет iptables в каждом конфиге или хотя бы сколько он точно должен потянуть (100, 200, 500, 1к, больше), и что оптимальнее для этих VPS iptables или route?

попробуйте да узнаете, несколько раз приходилось извращаться, после 3-5к правил начинаются лаги.

на openvz могут быть ограничения различного рода и изменить их нельзя без помощи хостера.

зачем на впс кого то банить?

foxi
На сайте с 02.03.2011
Offline
877
#9
tls:
ТС спрашивал про сервер, интересует то же самое для VPS. Возьмем самые популярные VPS: OpenVZ 1 ядро, 512-1024Мб и XEN 1 ядро, 512-1024Мб. Сколько правил потянет iptables в каждом конфиге или хотя бы сколько он точно должен потянуть (100, 200, 500, 1к, больше), и что оптимальнее для этих VPS iptables или route?

на openvz у вас вообще не будет доступа к фаерволу на большинстве хостингов.

на полноценной типа kvm 1 гб рам, 1 ядро проца, до 3-5к iptables -A INPUT -s NNN.NNN.NNN.NNN -j DROP осилит.

seodamage666
На сайте с 10.07.2013
Offline
9
#10
mirrustam:
Я так понял, ipset лучше когда речь идет о нагрузке на процессор и только?
В чём ещё он лучше?

Вопрос также касается входящего трафика генерируемого забанеными ip адресами.
Думаю, даже забаненый бот генерирует какой то входящий трафик.
Какова разница между этими тремя способами?

Ipset это надстройка к iptables, с ним просто проще. Как то на дэдике наблюдал интересную активность в accsess.log на тот момент на стандартный 22 порт, поставил ipset и начал банить по подсетям, активность пропала. Может пригодится статья про ipset

Авторизуйтесь или зарегистрируйтесь, чтобы оставить комментарий