Защита VPS от udp флуда

Если IN трафик пришел - значит он пришел.

Можете его дропать - ничего не поменяется. Канал на IN так и будет забит.

Решается фильтрацией до вашей VPS. Можно скрыть сайт за прокси (например cloudflare). Или фильтровать на cisco.

Так же от слабых атак - поможет широкий канал.

Тех кого досят с VPS чаще всего выселяют -> на выделенный сервер.

Про OUT трафик. Посмотрите, что именно VPS отвечает, если icmp -> отключите.

Arno-iptables-firewall при усьановке указываете какие порты открывать для тсп и удп. И все норм работает.

Какая ось и какая виртуализация?

Ubuntu 12.04, OpenVZ. Какая разница в чем указывать порты? В iptables указано -

-I INPUT -p udp --dport 80 -j DROP

😂 ну ну

вам правильно сказал poiuty

"Если IN трафик пришел - значит он пришел."

Ну ок. Может, тогда фильтровать out tcp-пакеты размером, скажем, больше 1 Мб?

таких пакетов не бывает в интернете, я не понимаю чего вы хотите добиться в конечном счете, на впс делать антиддос это из серии бредовых затей.

тестить надо не хренью - "LOIC" а заказывать на себя атаку.

Хочу хотя бы защититься от ддоссеров-школьников с LOIC:)

в OpenVZ в большинстве случаев у пользователя нету прав на редактирование фаервола, потому и настроить его не получится. юзайте полноценные виртуализации.

Коллеги,

poiuty и Den73 ведь верно сказали, что защита iptables от флуда бессмысленна. Давайте включим логику. VDS-нода в 99.9% случаев включена на скорости от 100мбит/с до 1гбит/с. Во времена активности больших ботнетов редкая атака udp была с полосой менее 3-5гбит/с, что гарантировано приводит к неприятным эффектам (как минимум - для доступности VDS-ноды и всех "соседей"). Так как udp и icmp являются протоколами, фактически, без контроля отправителя на стороне получателя, эти атаки обычно делаются со случайно сгенерированных ip-адресов и фильтровать нужно не на "получателе", а на бэкбоне.

Так что борьба с подобным флудом средствами iptables сродни попытке остановить снежную лавину саперной лопаткой. Попробовать можно, но результат, эээ, предсказуем :)

В случае udp-флуда noc в ДЦ обычно блокирует получателя на некоторое время (nullroute, blackhole) в автоматическом или ручном режиме. В ряде случаев можно обратиться в ДЦ, описать ситуацию и попросить ограничить полосу udp на указанный хост (либо полностью блокировать udp), поиграться с фильтрами по размеру пакета и так далее. Если атаки возможны часто, стоит обратиться к специализированным компаниям (тот же cloudflare).

В OpenVZ все это есть.

OpenVZ - отличная технология виртуализации.