Мощный сервер спокойно падает от ДДоса

190.37.**.** - - [06/Feb/2014:00:00:34 +0400] "GET //?True HTTP/1.0" 403 162 "-" "Mozilla/5.0 (Windows NT 6.2; rv:24.0) Gecko/20100101 Firefox/24.0" "-"

190.72.**.** - - [06/Feb/2014:00:00:34 +0400] "GET //?True HTTP/1.0" 403 162 "-" "Mozilla/5.0 (Windows NT 6.2; rv:24.0) Gecko/20100101 Firefox/24.0" "-"

201.209.**.** - - [06/Feb/2014:00:00:34 +0400] "GET //?True HTTP/1.0" 403 162 "-" "Mozilla/5.0 (Windows NT 6.2; rv:24.0) Gecko/20100101 Firefox/24.0" "-"

190.37.**.** - - [06/Feb/2014:00:00:34 +0400] "GET //?True HTTP/1.0" 403 162 "-" "Mozilla/5.0 (Windows NT 6.2; rv:24.0) Gecko/20100101 Firefox/24.0" "-"

200.90.**.** - - [06/Feb/2014:00:00:34 +0400] "GET //?True HTTP/1.0" 403 162 "-" "Mozilla/5.0 (Windows NT 6.2; rv:24.0) Gecko/20100101 Firefox/24.0" "-"

С этим браузером и именно с этим запросом атаки видел надцать раз. Видимо тот же ботнет. Как правило они даже не забивают 100мбитный канал. Это настолько тупые боты что лечится все банальным парсером "GET //?True" из лога. Лимиты nginx тут не помогут, запросов из 1 айпи очень мало, но айпишек много. Все что требуется это поставить ipset и сделать парсер лога nginx хотя бы раз в 5 минут с последующей чисткой от "мусора" ну или обнулением.

Я поставил блок запросов, содержащие GET //?True, через iptables.

Теперь есть другая проблема, проверял защиту через еще один софт, ошибок 8000 (т.е. 444 и 499) и 200 коннектов. Сайт все равно падает, один человек вот, что пишет:

Что там насчет скрипта? Есть примеры или кинете готовый вариант?

Если запросы заблокированы фаерволом то как они могут идти к апачу? :)

Я же говорю, что я проверяю уже другой штукенцией) У нее запросы другие (дал вырезку из лога access.log)

Дали? Где?

Извиняюсь, вот:

189.208.57.239 - - [07/Feb/2014:14:15:55 +0400] "GET / HTTP/1.1" 499 0 "-" "-" site.domain
66.230.191.159 - - [07/Feb/2014:14:15:55 +0400] "GET / HTTP/1.1" 499 0 "-" "-" site.domain
61.134.62.118 - - [07/Feb/2014:14:15:55 +0400] "GET / HTTP/1.1" 444 0 "-" "-" site.domain
168.226.35.19 - - [07/Feb/2014:14:15:55 +0400] "GET / HTTP/1.1" 444 0 "-" "-" site.domain
61.153.98.6 - - [07/Feb/2014:14:15:55 +0400] "GET / HTTP/1.1" 444 0 "-" "-" site.domain
182.253.211.190 - - [07/Feb/2014:14:15:55 +0400] "GET / HTTP/1.1" 444 0 "-" "-" site.domain
182.253.211.190 - - [07/Feb/2014:14:15:55 +0400] "GET / HTTP/1.1" 444 0 "-" "-" site.domain
103.247.219.167 - - [07/Feb/2014:14:15:55 +0400] "GET / HTTP/1.1" 444 0 "-" "-" site.domain
54.199.29.246 - - [07/Feb/2014:14:15:55 +0400] "GET / HTTP/1.1" 200 61850 "-" "-" site.domain
183.63.131.18 - - [07/Feb/2014:14:15:55 +0400] "GET / HTTP/1.1" 444 0 "-" "-" site.domain

Так исходя из данного лога к апачу у вас почти ничего не доходит. По этому лог противоречил словам выше.

grisha2217, обычное дело. Решается наличием знакомого админа, который во-первых, первоначально все настроит,

во-вторых, в случае конкретных проблем будет это разруливать.

Очень важно понять, что нужны оба пункта, каждый пункт по отдельности бессмыслен.

А лучше конечно не просто админа, а группу онных, которые в круглосуточном режиме решат проблему, при этом имея ежедневный опыт подобных "проблем".

Если ближе к делу, флудить могут по разному, разными паттернами и типами. Универсальных настроек нет. Вам пепсикола настроил фильтр от одного флуда - пошел другой. Нужно настроить против него.

Лучше блочить iptables а не nginx, в зависимости от того какие ip - прямо блоками.

В целом, делается скрипт, который включается и отлавливает всех ботов.

Как еще один вариант, можно попробовать подключить сайт через тот же CloudFlare. Вы уже 20$ не один раз отдали, а там за Pro версию такое должно фильтроваться без дополнительного гемороя.

Андрей вы конечно правы, но по текущей ситуации - смотрите лог. 444 в логе nginx, т.е. запрос к апачу не идет и никаких от этого он падать не может. Ну разве что канал забит. Но очень маловероятно что какой то софт (не думаю что ТС нашел ботнет) загрузил бы весь канал. Так что лог уж никак не клеится со словами об падении сайта.

grisha2217, Вы определитесь, Вам либо полноценную защиту, либо допиливание Вашей системы под каждую отдельную "атаку", которую Вы на себя же и вызываете.

Пока что Вы пробуете работать по второму варианту. Так нормальной защищенной системы не построить.

Если по первому - разговор будет совершенно иной, как и должно быть Ваше техзадание.