Фома, Да собственно говоря, все и делается через .htaccess. Основная особенность только в том, что нужно прописать нужную версию php в качестве обработчика. Это связанно с тем, что у нас установлено несколько версий php на сервере.
---------- Добавлено 21.04.2016 в 19:03 ----------
В нем установлена внешняя видеокатра Gigabyte GV-N210SL-1GI (NVIDIA GeForce 210, 1GB RAM). Для не тяжелых по графике игр, должно хватить. Можно подобрать другие конфигурации по памяти и дискам.
Нет, не пробовали. Свяжусь с ними, узнаю, что предлагают.
---------- Добавлено 21.04.2016 в 15:06 ----------
lsw_fan: В случае нахождения центра очистки в Амстердаме, пинг увеличится на 20-40 мс. Это конечно, вызовет недовольство у какой-то части геймеров, но в большинстве своем вполне приемлемое увеличение. На счет принимать /32 , то это возможно даже у Ростелекома, но смысл в этом есть только для remotely triggered black hole , т.е null-route. С ними надо только предварительно договориться, чтобы они сняли фильтры. Так же , я знаю, что подобное можно организовать у Мегафона. nullroute, это ведь тоже по сути будет защита от DDoS для вас.
smart2web: РТК сейчас по префиксу /32 отлично фильтруют. Единственное, что не всегда автоматически срабатывает и приходится их пинать письмами при обнаружении атаки.
Но только в данном случае, не мы им анонсируем, а они сами заворачивают атакуемый IP через Arbor. А блекхол, у нас давно совсем апстримами настроен, правда это становится малоэффективным когда ддосят подрять все твои айпи. В итоде, можно так все свои подсети убрать в бекхол ). Но в этом случае гораздо эффективнее просто оптику выдернуть и маршрутизатора ).
А на счет увеличения пинга на 20-40 мс, это как повезет. У кого-то на 40 мс поднимется, а у кого то и на все 100. Надо учитывать отдаленные регионы России, от них до Москвы получается 40-60 мс, А если завернуть траф на Амстердам, то и получаются все 100-120.
---------- Добавлено 21.04.2016 в 15:09 ----------
MIRhosting.com: У retn есть готовое решение, по сути ip transit, но более дорогой, и он чиститься. Все что надо в таком сценарии, это нужный префикс анонсить только через них, что вобщем не так плохо, роуты не меняются.
С Ретном мы уже ведем настройку. Посмотрим как хорошо у них будет работать. Правда, на счет готовности они сами не до конца уверены, насколько я понял, они сейчас предлагают нам выступить в роли бета-тестеров.
---------- Добавлено 21.04.2016 в 15:15 ----------
MIRhosting.com: По вариантам сторонних чисток, типовый вариант - поднятие gre тунеля, в обе стороны. Это правда, что для корректной чистки, особенно все что касается днс и вообще L7, трафик должен в обе стороны ходить через железку.
Вот мы и подняли в марте GRE с ддос-гвардом... Сейчас, правда уже с ними поднят прямой стык на М9, но трафика по нему не гоняем пока, т.к. не до конца отработали с ними схему взаимодействия. Пока, идея такая, что поднимаем 2 канала protected и unprotected. По умолчанию, весь траф идет через unprotected, в случае детектирования ими атаки, они по API, сообщают нам атакуемый IP, и мы должны его анонсировать (как раз по /32) в protected-канал, тогда он начинает чистится. Переключать трафик самостоятельно на своей стороне они не готовы.
lsw_fan: В любом случае, "гонять трафик через заграницу", это касается только получения входящего трафика.
К сожалению, при асимметричной передаче трафика, возникает куча проблем с анти-ддосами, у нас такое было, когда входящий шел через анти-ддос, а исходящий на прямую.
В этом случае, антиддос не видит сессии, на основе которой как правило принимается решение о легитимности пакета.
lsw_fan: А пропускать весь свой входящий трафик всегда через ддос защиту , как мне кажется, не самая лучшая идея.
Согласен, из-за этого и была целая куча проблема у нас с ддос-гвардами, когда весь наш трафик ходил через их центр очистки.
lsw_fan: Я не провайдер, но могу предположить следующее, что можно на базе netflow данных написать сенсор, который будет, по определенным критериям дергать ваш маршрутизатор и через community управлять анонсом нужной /24, т.е в случае атаки переключать анонс на ASN центра очистки.
Представляете, как обрадуются соседи по сети атакуемого сервера, особенно если это будут геймеры, у которых вдруг пинг побежит через заграницу. По нормальному, переключение айпишника под защиту должно происходить по маске /32. Мало кто из операторов готов принимать префиксами /32 (точнее, вообще никто).
---------- Добавлено 21.04.2016 в 03:04 ----------
leonid239: 80% по SLA это как-то уж очень мало. Из 365 дней в году они могут не работать 73 дня... Не очень впечатляет.
Ну это и есть показатель того, насколько РТ уверен в своих силах. На текущем этапе, они неплохо справляются с атаками, что будет дальше, посмотрим. Надеюсь, что месяц-два и мы запустим свой центр очистки.
leonid239: Вроде как IHOR как раз к защите от Рослетекома и подключились.
Так и есть, но для нас это тоже не панацея, ротелековцы, тоже слегка очкуют от нашего трафика %). По SLA могут прогарантировать доступность только 80%. По этому, рассматриваем РТ только как промежуточный этап.
Из нашей практики, данный вопрос в основном беспокоит госучреждения. У них предписания, свои сайты размещать только в РФ. Но, правда, им обычно достаточно официального письма, что такой-то IP-адрес размещен в сервере который расположен в дата-центре по такому-то адресу, а на whois им, как-то до лампы.
Скидки для реселлеров нет?
По поводу ресселинга, напишите пожалуйста, нам на почту. Обсудим.
Фома, Да собственно говоря, все и делается через .htaccess. Основная особенность только в том, что нужно прописать нужную версию php в качестве обработчика. Это связанно с тем, что у нас установлено несколько версий php на сервере.
---------- Добавлено 21.04.2016 в 19:03 ----------
Ivan Lungov
133550
Активирована.
Фома, Вам ответили и настроили.
Graveworm, код услуги скажите, пожалуйста.
Можем предложить вот такой сервачок:
1x E5-1620 v2, 3.7GHz, 4 ядра / 8 Gb DDR3 ECC RAM / 500 Gb HDD - Цена: 5400 /мес
В нем установлена внешняя видеокатра Gigabyte GV-N210SL-1GI (NVIDIA GeForce 210, 1GB RAM). Для не тяжелых по графике игр, должно хватить. Можно подобрать другие конфигурации по памяти и дискам.
Если совсем бюджетный:
1x E5530, 2.4Ghz, 4 ядра / 8 Gb DDR3 ECC RAM / 2x500 Gb HDD
Цена: 3750 /мес.
Подобрать нужную конфигурацию можно здесь: https://www.ihor.ru/dedic
servicepipe.ru пробовали? Что скажете?
Нет, не пробовали. Свяжусь с ними, узнаю, что предлагают.
---------- Добавлено 21.04.2016 в 15:06 ----------
В случае нахождения центра очистки в Амстердаме, пинг увеличится на 20-40 мс. Это конечно, вызовет недовольство у какой-то части геймеров, но в большинстве своем вполне приемлемое увеличение.
На счет принимать /32 , то это возможно даже у Ростелекома, но смысл в этом есть только для remotely triggered black hole , т.е null-route. С ними надо только предварительно договориться, чтобы они сняли фильтры. Так же , я знаю, что подобное можно организовать у Мегафона.
nullroute, это ведь тоже по сути будет защита от DDoS для вас.
РТК сейчас по префиксу /32 отлично фильтруют. Единственное, что не всегда автоматически срабатывает и приходится их пинать письмами при обнаружении атаки.
Но только в данном случае, не мы им анонсируем, а они сами заворачивают атакуемый IP через Arbor. А блекхол, у нас давно совсем апстримами настроен, правда это становится малоэффективным когда ддосят подрять все твои айпи. В итоде, можно так все свои подсети убрать в бекхол ). Но в этом случае гораздо эффективнее просто оптику выдернуть и маршрутизатора ).
А на счет увеличения пинга на 20-40 мс, это как повезет. У кого-то на 40 мс поднимется, а у кого то и на все 100. Надо учитывать отдаленные регионы России, от них до Москвы получается 40-60 мс, А если завернуть траф на Амстердам, то и получаются все 100-120.
---------- Добавлено 21.04.2016 в 15:09 ----------
У retn есть готовое решение, по сути ip transit, но более дорогой, и он чиститься.
Все что надо в таком сценарии, это нужный префикс анонсить только через них, что вобщем не так плохо, роуты не меняются.
С Ретном мы уже ведем настройку. Посмотрим как хорошо у них будет работать. Правда, на счет готовности они сами не до конца уверены, насколько я понял, они сейчас предлагают нам выступить в роли бета-тестеров.
---------- Добавлено 21.04.2016 в 15:15 ----------
По вариантам сторонних чисток, типовый вариант - поднятие gre тунеля, в обе стороны. Это правда, что для корректной чистки, особенно все что касается днс и вообще L7, трафик должен в обе стороны ходить через железку.
Вот мы и подняли в марте GRE с ддос-гвардом... Сейчас, правда уже с ними поднят прямой стык на М9, но трафика по нему не гоняем пока, т.к. не до конца отработали с ними схему взаимодействия. Пока, идея такая, что поднимаем 2 канала protected и unprotected. По умолчанию, весь траф идет через unprotected, в случае детектирования ими атаки, они по API, сообщают нам атакуемый IP, и мы должны его анонсировать (как раз по /32) в protected-канал, тогда он начинает чистится. Переключать трафик самостоятельно на своей стороне они не готовы.
В любом случае, "гонять трафик через заграницу", это касается только получения входящего трафика.
К сожалению, при асимметричной передаче трафика, возникает куча проблем с анти-ддосами, у нас такое было, когда входящий шел через анти-ддос, а исходящий на прямую.
В этом случае, антиддос не видит сессии, на основе которой как правило принимается решение о легитимности пакета.
А пропускать весь свой входящий трафик всегда через ддос защиту , как мне кажется, не самая лучшая идея.
Согласен, из-за этого и была целая куча проблема у нас с ддос-гвардами, когда весь наш трафик ходил через их центр очистки.
Я не провайдер, но могу предположить следующее, что можно на базе netflow данных написать сенсор, который будет, по определенным критериям дергать ваш маршрутизатор и через community управлять анонсом нужной /24, т.е в случае атаки переключать анонс на ASN центра очистки.
Представляете, как обрадуются соседи по сети атакуемого сервера, особенно если это будут геймеры, у которых вдруг пинг побежит через заграницу. По нормальному, переключение айпишника под защиту должно происходить по маске /32. Мало кто из операторов готов принимать префиксами /32 (точнее, вообще никто).
---------- Добавлено 21.04.2016 в 03:04 ----------
80% по SLA это как-то уж очень мало. Из 365 дней в году они могут не работать 73 дня... Не очень впечатляет.
Ну это и есть показатель того, насколько РТ уверен в своих силах. На текущем этапе, они неплохо справляются с атаками, что будет дальше, посмотрим. Надеюсь, что месяц-два и мы запустим свой центр очистки.
Вроде как IHOR как раз к защите от Рослетекома и подключились.
Так и есть, но для нас это тоже не панацея, ротелековцы, тоже слегка очкуют от нашего трафика %). По SLA могут прогарантировать доступность только 80%. По этому, рассматриваем РТ только как промежуточный этап.
Из нашей практики, данный вопрос в основном беспокоит госучреждения. У них предписания, свои сайты размещать только в РФ. Но, правда, им обычно достаточно официального письма, что такой-то IP-адрес размещен в сервере который расположен в дата-центре по такому-то адресу, а на whois им, как-то до лампы.