Himiko: Прикольная у меня опечатка получилась ))))
Но вы меня поняли.
И это действительно важно, причём всё из вашего списка.
Я знаю, у меня 5 лет за плечами такого офиса )) причем из них 2 в роли начальника тех. отдела. )))) я се это знаю :D и расписания писал и собеседования проводил ))) все было :D
Himiko: Не соглашусь. Вы толкаете себя на риск, чтобы сократить расходы. Теряется обсучаемость, коммуникации между сотрудниками, теряется возможность нормального контроля и командной работы. Каждый в таком случае сам по себе и многие вещи теряются. Да и опасно доверять что то незнакомому человеку.
Это реально факт! обсучаемость :D это мега важный момент , когда есть у кого спросить, да просто банально поразмышлять в курилке над чем-то "по работе" :D Удаленно, теряется даже такой фактор как эмоция :D не говоря уже о проф. контакте с точки зрения приобретения опыта!
Andreyka: Смысл в том, что у тебя есть возможность оперативно увеличить число серверов/канальную мощность
Вай, а каким же это образом BGP мне будет добавлять сервера куда либо? оно переключить направление трафика может это точно, а вот добавить канальную мощность -не понимаю, разве что в случае когда 2 пути активных будут , в таком случае да, куда as path короче - туда и пойдет траф, фактически на 2 точки разойдется....... но !!!! тогда, если оба канала UP надо же синхронизировать сервера по злому быстро :D ? не так ли? Или опять суть моего вопроса не раскрыта для меня вашим ответом :D
---------- Post added at 07:26 ---------- Previous post was at 07:23 ----------
Dimanych: В идеале мастер от слова главный - всегда 1 )
Ух как близоруко смотрите ))))) бывает и два мастера и три .... ))) и даже 10 может быть ))) Multi-Mastering ;)
И в квартире можно сделать жалкое подобие ЦОДа, установить сервер 200Вт, подключить его к ИБП на 6КвА (в случае падения электричество будет держать до 3 часов), так можно и несколько лет аптайм держать☝
Я прекрасно это понимаю, в моем примере именно так и есть, по статистике с самого же упса, за 160 дней было 4 перехода на батарею, одно из которых описано как понижение напряжения в сети, по этому для частных владений и так вполне уместно все живет в Украине, без упсов и прочего.
Friedrich:
Что касается сути вопроса, проблемы бывают у Всех, хотите стабильности? Делайте геоклайстер, благо хостеры сейчас предоставляют сервера в разных странах одновременно, Хостлайф не исключение;)
Вы меня с кем-то путаете ))))) потрудитесь почитать тему целиком.
---------- Post added at 07:18 ---------- Previous post was at 07:16 ----------
ware: Вот как раз в Харькове с электричеством у всех проблема.
Если вы имеете ввиду ДЦ, то вполне может быть , я в Харькове не размещаю на площадках сервера, хотя если почитать тему ДЦ ITL в которой пишет Дмитрий Дейнека, станет понятно что в Харькове таки есть достойные и зарекомендовавшие себя положительно ДЦ. (Рассмотрите их ДЦ, я не думаю что там падает свет со всеми соседями вместе!)
netwind: Если кто-то решил заддосить конкретный обработчик трафика направив атаку один конкретный IP, то его придется отключить. В оригинальной задумке zexis сервер просто перестанет отвечать на запросы DNS по причине перегрузки канала и клиент попробует другой.
Не забывайте что весь трафик, и нормальный и не нормальный пойдут ватажком на рабочий сервер в случае атаки\переключения, я не удивлюсь если будет достигнут цикл в ходе которого сайт не будет работать по причинам постоянного переключения DNS\BGP ;)
netwind: Вконтакте - это уже уровень повыше. Там уже другие решения.
Верно подмечено. А говорит это о том, что даже при их "уровнем выше" вполне все выглядит простенько, я не думаю что они тратили миллионы рублей (учитывая их масштабы) на защиты от DDOs. Хотя было бы интересно узнать о цифрах потраченных на это :D
---------- Post added at 16:36 ---------- Previous post was at 16:35 ----------
zexis: Romka_Kharkov, ресурсы у ддосера тоже конечны. Предполагается, что он не сможет одновременно держать задидошенными сразу все сервера в разных датацентрах.
Согласен с вами, прочитайте мой ответ netwind-у, переключения будут зациклены в случае автоматизации переключений. (IMHO конечно же)
Мне кажется тут надо работать методом обмана конечной точки которая атакует, сбивать её с цели, это даже у военных принято :D Нужны методики которые как я писал выше например смогут в какие-то комьюнити (к примеру китай целиком) передать неверный путь, либо фальсифицировать его.... ведь на 99% уверен что ТС не ожидает клиентов из Китая , а вот досы оттуда могут регулярно появляться.... Либо то же самое по поводу ДНС и если мне не изменяет память ДНС можно настроить так что бы определенный CIDR получая зону от вас, получал её так как вам надо. Но это не мешает найти другой IP поняв схему :D В общем думать надо над концепцией , сильно и много думать.
netwind: Разумеется арендуя сервера в разных точках ДЦ добиться того, что трафик ддос не будет сходиться в одну точку и тем самым спасти маршрутизаторы.
Вот это козырно !!! Полностью проясняет требование :D Но как это реализовать совместно с получением высокого процента отказоустойчивости проекта? Я обращу ваше внимание на то, что даже всем известный вконтакте.ру регулярно испытывает разнообразные трудности в работе их же системы, о чем свидетельствуют периодически появляющиеся сообщения типа "ошибка базы данных", "простите временно недоступно", и.т.п. А они фактически и есть те, кто распределяет входящую нагрузку на разные сегменты своих аппаратных комплексов.
Я предполагаю (так как не знаю их каналов), что если на каждый из трех слать нууу по 10 Gb/s то cайт будет отдыхать не зависимо от того сколько там внутри серверов и админов копошатся над разработкой платформы :D
---------- Post added at 15:30 ---------- Previous post was at 15:25 ----------
madoff: Мачить тузиков ;)
На сколько я понял, на этой схеме изображено переключение с одного соседа на второго.... А вот эти мелкие кружалики :D это факеры-атакеры ? ну вот перекинулись все "красные палочки" на IP 2 ? и что? сайт сразу открываться начал для нормальных пользователей? :)
zexis: Канал мастера конечен и может быть задидошен.
Очень хорошая формулировка, меня интересует вопрос сути этой схемы, ведь вы поймите, сейчас вы ищите методику которая будет переключать что-то внутри вашей схемы которая под атакой, посылать клиентов на другие сервера и прочее, дай бог вам конечно успехов в этом деле, подскажу что знаю, НО !! Что вы будете делать потом ? когда найдете это решение ? Ведь оставшаяся часть серверов каким-то образом должна не попадать в правило "Канал мастера конечен и может быть задидошен.". Можно пробовать переключать ДНС, можно пробовать что угодно на самом деле, но когда к вам придет 20.000 ИП адресов разных..... в одну секунду блин, да еще и как бы намеренно-паразитивно... я лично выхода не вижу, разве что разместить свой сервер там где 50 Gb/s не проблема - это в некотором роде панацея. Тогда сам ДЦ сможет фильтровать трафик для вас (либо дать вам такие возможности).... но надо готовить много $$$$
---------- Post added at 15:19 ---------- Previous post was at 15:14 ----------
netwind: ага. но если бы читали zexis, то понимали что речь идет даже о специализированном сервисе.
Ну первое время тяжело придется, потому что совет "это можно сделать с помощью BGP" никакого конкретного плана в себе не содержит. Нужно еще знать что именно нужно делать. Вот Romka_Kharkov слово BGP вроде бы знает, но какую-то ерунду пошел развивать.
Почему же, я и BGP тему поддержал, если вы хотите, то можете ответить на вопрос заданный Андрейке (тыц).
myhand: Думаете, Вася-налетчик залезет к вам в квартиру через патчкорд
А че, буквально вчера собирали водопроводный кран китайский и знаете мы с товарищем пришли к одному выводу, что бы кран не тек и были закручен все гайки один из нас должен быть внутри трубы :D
pupseg: На мой взгляд - в целом вообще то не правильно отбивать атаки iptables, это программный фильтр, существующий для защиты, не более. Если атаки действительно велики - то имеет смысл присмотреть аппаратные решения. Так как - человеко-часы на настройку и т д - не окупятся в итоге. ТС лучше бы посмотрел в сторону какого-нибудь juniper'а mx240, цисочки 7200 ...
из лирики: когда был на дворе 2000год, я тогда работал в провайдинге, был бум пионер-LAN'ов, линукс-маршрутизаторов с кучей сетевух. Шеф болел той же идеей, на всех чердаках понаставить коробок с линуксом в антивандальных ящиках. Все таки поборол ... центральным маршем купили цисочку 26ую... 30мбит умела роутить с ip cef , 10 без ip cef, пару часов настройки ....и ..... - работает до сих пор на маленьком участке сети. Прошли уже времена линуксов с кучей правил. Железяка, несколько каналов и все проблемы решены. да, дорого, но окупиться в итоге и с запасом на несколько лет. и, кстати - перспективы серьезно развить бизнес антиддос. Но у нас же как всегда....... хочется вложить 1000 долларов и получить 1000% выхлопа... а так - предложенная ТС схема в начале имеет место на жизнь, чуть поменьше TTL и все ок. такие схемы работают.
А что делает джунипер или ваша цисочка 72я когда на Uplink 1 GB/s заходит например 5 Gb/s UPD флуда? А то я у себя настроечку не нашел :D
---------- Post added at 14:49 ---------- Previous post was at 14:44 ----------
Andreyka: Просто bgp гарантирует смену ip на уровне сервера
Мне вот чисто интересно, ну вот я представил себе схему, допустим у меня есть две AS, в них уже настроен пиринг куда-то и от меня ждут мои префиксы ,кстати какие ? ну допустим /24. Я настроил prepend-path и удленил его в одну из точек нереально, тоесть весь траф топает в точку А, а точка Б вообще курит, в обеих точках настроен сервер с одним и тем же ИП и даже допустим настроена синхронизация серверов А и Б по сети .... Начинается ДДОС, мне в точке А убивают канал, кто-то из демонов это понимает, дает команду BGP, переключается маршрут в точку Б, действительно за пару секунд..... ну и весь трафик повернулся в точку Б, теперь у меня точка Б под ддосом а точка А курит. В чем смысл?
Добавлю: подумал чуток, возможно путем BGP есть способ передать prepend каким-то отдельным участкам сети , через комьюнити, например что бы какой нить китай к примеру или его основные апстримы видели 1 путь (оттуда к примеру ддос), а Европа например видела другой путь..... но не знаю передадут ли провайдеры комьюнити такие клиентам и будет ли такая схема возможна.
Прикольная у меня опечатка получилась ))))
Но вы меня поняли.
И это действительно важно, причём всё из вашего списка.
Я знаю, у меня 5 лет за плечами такого офиса )) причем из них 2 в роли начальника тех. отдела. )))) я се это знаю :D и расписания писал и собеседования проводил ))) все было :D
Не соглашусь. Вы толкаете себя на риск, чтобы сократить расходы. Теряется обсучаемость, коммуникации между сотрудниками, теряется возможность нормального контроля и командной работы. Каждый в таком случае сам по себе и многие вещи теряются. Да и опасно доверять что то незнакомому человеку.
Это реально факт! обсучаемость :D это мега важный момент , когда есть у кого спросить, да просто банально поразмышлять в курилке над чем-то "по работе" :D Удаленно, теряется даже такой фактор как эмоция :D не говоря уже о проф. контакте с точки зрения приобретения опыта!
Вот ты забавный. Я же не буду тебе рисовать всю схему, погугли и почитай как люди делают
Ясно :d Общие рекомендации. :) Хорошо, погуглю.
Смысл в том, что у тебя есть возможность оперативно увеличить число серверов/канальную мощность
Вай, а каким же это образом BGP мне будет добавлять сервера куда либо? оно переключить направление трафика может это точно, а вот добавить канальную мощность -не понимаю, разве что в случае когда 2 пути активных будут , в таком случае да, куда as path короче - туда и пойдет траф, фактически на 2 точки разойдется....... но !!!! тогда, если оба канала UP надо же синхронизировать сервера по злому быстро :D ? не так ли? Или опять суть моего вопроса не раскрыта для меня вашим ответом :D
---------- Post added at 07:26 ---------- Previous post was at 07:23 ----------
В идеале мастер от слова главный - всегда 1 )
Ух как близоруко смотрите ))))) бывает и два мастера и три .... ))) и даже 10 может быть ))) Multi-Mastering ;)
И в квартире можно сделать жалкое подобие ЦОДа, установить сервер 200Вт, подключить его к ИБП на 6КвА (в случае падения электричество будет держать до 3 часов), так можно и несколько лет аптайм держать☝
Я прекрасно это понимаю, в моем примере именно так и есть, по статистике с самого же упса, за 160 дней было 4 перехода на батарею, одно из которых описано как понижение напряжения в сети, по этому для частных владений и так вполне уместно все живет в Украине, без упсов и прочего.
Что касается сути вопроса, проблемы бывают у Всех, хотите стабильности? Делайте геоклайстер, благо хостеры сейчас предоставляют сервера в разных странах одновременно, Хостлайф не исключение;)
Вы меня с кем-то путаете ))))) потрудитесь почитать тему целиком.
---------- Post added at 07:18 ---------- Previous post was at 07:16 ----------
Вот как раз в Харькове с электричеством у всех проблема.
Если вы имеете ввиду ДЦ, то вполне может быть , я в Харькове не размещаю на площадках сервера, хотя если почитать тему ДЦ ITL в которой пишет Дмитрий Дейнека, станет понятно что в Харькове таки есть достойные и зарекомендовавшие себя положительно ДЦ. (Рассмотрите их ДЦ, я не думаю что там падает свет со всеми соседями вместе!)
Если кто-то решил заддосить конкретный обработчик трафика направив атаку один конкретный IP, то его придется отключить. В оригинальной задумке zexis сервер просто перестанет отвечать на запросы DNS по причине перегрузки канала и клиент попробует другой.
Не забывайте что весь трафик, и нормальный и не нормальный пойдут ватажком на рабочий сервер в случае атаки\переключения, я не удивлюсь если будет достигнут цикл в ходе которого сайт не будет работать по причинам постоянного переключения DNS\BGP ;)
Вконтакте - это уже уровень повыше. Там уже другие решения.
Верно подмечено. А говорит это о том, что даже при их "уровнем выше" вполне все выглядит простенько, я не думаю что они тратили миллионы рублей (учитывая их масштабы) на защиты от DDOs. Хотя было бы интересно узнать о цифрах потраченных на это :D
---------- Post added at 16:36 ---------- Previous post was at 16:35 ----------
Romka_Kharkov, ресурсы у ддосера тоже конечны.
Предполагается, что он не сможет одновременно держать задидошенными сразу все сервера в разных датацентрах.
Согласен с вами, прочитайте мой ответ netwind-у, переключения будут зациклены в случае автоматизации переключений. (IMHO конечно же)
Мне кажется тут надо работать методом обмана конечной точки которая атакует, сбивать её с цели, это даже у военных принято :D Нужны методики которые как я писал выше например смогут в какие-то комьюнити (к примеру китай целиком) передать неверный путь, либо фальсифицировать его.... ведь на 99% уверен что ТС не ожидает клиентов из Китая , а вот досы оттуда могут регулярно появляться.... Либо то же самое по поводу ДНС и если мне не изменяет память ДНС можно настроить так что бы определенный CIDR получая зону от вас, получал её так как вам надо. Но это не мешает найти другой IP поняв схему :D В общем думать надо над концепцией , сильно и много думать.
Разумеется арендуя сервера в разных точках ДЦ добиться того, что трафик ддос не будет сходиться в одну точку и тем самым спасти маршрутизаторы.
Вот это козырно !!! Полностью проясняет требование :D Но как это реализовать совместно с получением высокого процента отказоустойчивости проекта? Я обращу ваше внимание на то, что даже всем известный вконтакте.ру регулярно испытывает разнообразные трудности в работе их же системы, о чем свидетельствуют периодически появляющиеся сообщения типа "ошибка базы данных", "простите временно недоступно", и.т.п. А они фактически и есть те, кто распределяет входящую нагрузку на разные сегменты своих аппаратных комплексов.
думаю понятно что там ^^
и при этом:
Я предполагаю (так как не знаю их каналов), что если на каждый из трех слать нууу по 10 Gb/s то cайт будет отдыхать не зависимо от того сколько там внутри серверов и админов копошатся над разработкой платформы :D
---------- Post added at 15:30 ---------- Previous post was at 15:25 ----------
Мачить тузиков ;)
На сколько я понял, на этой схеме изображено переключение с одного соседа на второго.... А вот эти мелкие кружалики :D это факеры-атакеры ? ну вот перекинулись все "красные палочки" на IP 2 ? и что? сайт сразу открываться начал для нормальных пользователей? :)
Канал мастера конечен и может быть задидошен.
Очень хорошая формулировка, меня интересует вопрос сути этой схемы, ведь вы поймите, сейчас вы ищите методику которая будет переключать что-то внутри вашей схемы которая под атакой, посылать клиентов на другие сервера и прочее, дай бог вам конечно успехов в этом деле, подскажу что знаю, НО !! Что вы будете делать потом ? когда найдете это решение ? Ведь оставшаяся часть серверов каким-то образом должна не попадать в правило "Канал мастера конечен и может быть задидошен.". Можно пробовать переключать ДНС, можно пробовать что угодно на самом деле, но когда к вам придет 20.000 ИП адресов разных..... в одну секунду блин, да еще и как бы намеренно-паразитивно... я лично выхода не вижу, разве что разместить свой сервер там где 50 Gb/s не проблема - это в некотором роде панацея. Тогда сам ДЦ сможет фильтровать трафик для вас (либо дать вам такие возможности).... но надо готовить много $$$$
---------- Post added at 15:19 ---------- Previous post was at 15:14 ----------
ага. но если бы читали zexis, то понимали что речь идет даже о специализированном сервисе.
Ну первое время тяжело придется, потому что совет "это можно сделать с помощью BGP" никакого конкретного плана в себе не содержит. Нужно еще знать что именно нужно делать. Вот Romka_Kharkov слово BGP вроде бы знает, но какую-то ерунду пошел развивать.
Почему же, я и BGP тему поддержал, если вы хотите, то можете ответить на вопрос заданный Андрейке (тыц).
Думаете, Вася-налетчик залезет к вам в квартиру через патчкорд
А че, буквально вчера собирали водопроводный кран китайский и знаете мы с товарищем пришли к одному выводу, что бы кран не тек и были закручен все гайки один из нас должен быть внутри трубы :D
На мой взгляд - в целом вообще то не правильно отбивать атаки iptables, это программный фильтр, существующий для защиты, не более. Если атаки действительно велики - то имеет смысл присмотреть аппаратные решения. Так как - человеко-часы на настройку и т д - не окупятся в итоге. ТС лучше бы посмотрел в сторону какого-нибудь juniper'а mx240, цисочки 7200 ...
из лирики: когда был на дворе 2000год, я тогда работал в провайдинге, был бум пионер-LAN'ов, линукс-маршрутизаторов с кучей сетевух. Шеф болел той же идеей, на всех чердаках понаставить коробок с линуксом в антивандальных ящиках. Все таки поборол ... центральным маршем купили цисочку 26ую... 30мбит умела роутить с ip cef , 10 без ip cef, пару часов настройки ....и ..... - работает до сих пор на маленьком участке сети. Прошли уже времена линуксов с кучей правил. Железяка, несколько каналов и все проблемы решены. да, дорого, но окупиться в итоге и с запасом на несколько лет. и, кстати - перспективы серьезно развить бизнес антиддос. Но у нас же как всегда....... хочется вложить 1000 долларов и получить 1000% выхлопа...
а так - предложенная ТС схема в начале имеет место на жизнь, чуть поменьше TTL и все ок. такие схемы работают.
А что делает джунипер или ваша цисочка 72я когда на Uplink 1 GB/s заходит например 5 Gb/s UPD флуда? А то я у себя настроечку не нашел :D
---------- Post added at 14:49 ---------- Previous post was at 14:44 ----------
Просто bgp гарантирует смену ip на уровне сервера
Мне вот чисто интересно, ну вот я представил себе схему, допустим у меня есть две AS, в них уже настроен пиринг куда-то и от меня ждут мои префиксы ,кстати какие ? ну допустим /24. Я настроил prepend-path и удленил его в одну из точек нереально, тоесть весь траф топает в точку А, а точка Б вообще курит, в обеих точках настроен сервер с одним и тем же ИП и даже допустим настроена синхронизация серверов А и Б по сети .... Начинается ДДОС, мне в точке А убивают канал, кто-то из демонов это понимает, дает команду BGP, переключается маршрут в точку Б, действительно за пару секунд..... ну и весь трафик повернулся в точку Б, теперь у меня точка Б под ддосом а точка А курит. В чем смысл?
Добавлю: подумал чуток, возможно путем BGP есть способ передать prepend каким-то отдельным участкам сети , через комьюнити, например что бы какой нить китай к примеру или его основные апстримы видели 1 путь (оттуда к примеру ддос), а Европа например видела другой путь..... но не знаю передадут ли провайдеры комьюнити такие клиентам и будет ли такая схема возможна.