MIKLFIRM: ТС, думаю Вам не стоит делать из десктопа сервер, вы спросите почему???? - почитайте аналогичные темы, много раз обсуждалось.
Да нужды то примитивные, это ж не хостинг сервер, поставит он туда свои 5-6 серверов КС , конечно если на 5 портов по 20 рыл набьется.... будет печальное зрелище .... но думаю на 2-3 сервера такой тачки должно хватить, по сравнению с напругой от ЦС серверов 2 сайта там видно просто не будет.
Т.С, делайте, должно хватить, я поднимал 2 ЦС сервера на тачке с 700 Mhz процессором, и там даже на 2х портах человек по 5 бегало, на глаз тачка у вас получше, проблем быть не должно.
anti_ddos: Роман, толк в том, что ростелеком подключается к апстримам не только на MSK-IX, а еще и на AMS-IX, DE-CIX... Поэтому трафик будет литься через всех апстримов, через кого-то больше, через кого-то меньше, но не суть.:)
Ну так это поможет только если 90% трафика будет поступать через MSK-IX что в случае с китайцами не реально, а в случае MSK-IX трафика, это по телефону провайдеры между собой быстро урегулируют :)
netwind: если я стараюсь писать понятно, не использую сленг, аббревиатуры, названия производителей оборудования и прочую узкоспециализированную фигню, это ведь просто значит, что я стараюсь писать понятно для всех.
Так в таком случае нормальные толковые специалисты воспримут это как попало, что может быть и происходит сейчас.
kxk: Romka_Kharkov, Китайцев зафильтруют по гео, а тут ддос валит со всего мира как оказалось и никак несвязанный. Там целая толпа управлялок за которыми сейчас идёт наблюдение...
Давайте разберемся в термине "зафильтруют", если я все правильно помню то deny ip from x.x.x.x to any не снимает напряжения с коммутатора, его по прежнему долбит тот же поток , только он не доходит глубже в иерархию сети, по этому "зафильтруют по гео" мне не совсем понятно, вот возьмем например какую-то точку отказа, например бордер вашего апстрима.... в него заходит 300 Gb/s как вы сказали (черт меня побери, что я говорю... :D ) к примеру, как же его можно отфильтровать и что это даст? ну залочили вы трафик, не проходит он дальше в сеть внутрь и че ? DDOS останавливается что ли ? Нет он будет долбить по вашему анонсу .... пока ваш блок будет анонсироваться, соответственно входящие 300Gb/s остануться на внешнем интерфейсе вашего апстрима (его бордера) ..... да, этот трафик не попадет внурь апстрима и не дойдет к вам но так же не дойдет и другой трафик на апстрима так как входящий канал слегка занят :) Или я че-то не так понимаю?:)
kxk: Romka_Kharkov, Так меня фильтровал мой апстрим можно сказать на халяву, а мелочь я отрезал через самопальный фильтр в ipfw :) Но, когда апстриму залили линк под 0, крику было на весь Рунет (((:
Ну так это говорит о том, что ваш Апстрим не готов работать с ддосом, так что ли ? По тому , что у меня проблем с досами не возникает в плане сотрудничества с моими апстримами. В большинстве случаев апстримам даже выгодно когда вас плавят, потому , что вы платите за эту полосу.... Но в случае когда умирает сам апстрим из за этого - впервые слышу..... Вы представляете себе, что будет если например L3 перестанет работать, пол интернета погрузиться в каменный век как минимум :)
Резюмируя данную тему, я понимаю, что если китайцы отправят по 10 кб каждый в сторону России то у последней 2 недели не будет выхода за рубеж?:)
kxk: Romka_Kharkov, 10 Гигабит я фильтровал на автомате. Эх еслибы 10 гигабит, а не этот "смерч". Верите нет на старом месте идеально была отлажена сетевая инфраструктура, была куча ip (мне их даже считать не приходилось в принципе).
А вот я всего 10G включен в апстрима... и думаю так же остальные 90%.... как же фильтровать это автоматом. ? :)
ТС, думаю Вам не стоит делать из десктопа сервер, вы спросите почему???? - почитайте аналогичные темы, много раз обсуждалось.
Да нужды то примитивные, это ж не хостинг сервер, поставит он туда свои 5-6 серверов КС , конечно если на 5 портов по 20 рыл набьется.... будет печальное зрелище .... но думаю на 2-3 сервера такой тачки должно хватить, по сравнению с напругой от ЦС серверов 2 сайта там видно просто не будет.
Т.С, делайте, должно хватить, я поднимал 2 ЦС сервера на тачке с 700 Mhz процессором, и там даже на 2х портах человек по 5 бегало, на глаз тачка у вас получше, проблем быть не должно.
Роман, толк в том, что ростелеком подключается к апстримам не только на MSK-IX, а еще и на AMS-IX, DE-CIX... Поэтому трафик будет литься через всех апстримов, через кого-то больше, через кого-то меньше, но не суть.:)
Ну так это поможет только если 90% трафика будет поступать через MSK-IX что в случае с китайцами не реально, а в случае MSK-IX трафика, это по телефону провайдеры между собой быстро урегулируют :)
http://www.robtex.com/as/as12389.html у ростелекома всё впорядке.
Так а что толку если там 3x60 Gb идут в MSK-IX ?:)
sh run ! ... ололо ......... я спецылист!.....
это должно добавить убедительности?
Я понял, вы только что сам сказали что кого-то убеждаете тут, не убедительности, а ясности!
если я стараюсь писать понятно, не использую сленг, аббревиатуры, названия производителей оборудования и прочую узкоспециализированную фигню, это ведь просто значит, что я стараюсь писать понятно для всех.
Так в таком случае нормальные толковые специалисты воспримут это как попало, что может быть и происходит сейчас.
Romka_Kharkov, В России один монополист, они просто заблочат там весь трафик из Китая и всё
А у него канал > 300 Gb/s ?:)
Romka_Kharkov, Китайцев зафильтруют по гео, а тут ддос валит со всего мира как оказалось и никак несвязанный. Там целая толпа управлялок за которыми сейчас идёт наблюдение...
Давайте разберемся в термине "зафильтруют", если я все правильно помню то deny ip from x.x.x.x to any не снимает напряжения с коммутатора, его по прежнему долбит тот же поток , только он не доходит глубже в иерархию сети, по этому "зафильтруют по гео" мне не совсем понятно, вот возьмем например какую-то точку отказа, например бордер вашего апстрима.... в него заходит 300 Gb/s как вы сказали (черт меня побери, что я говорю... :D ) к примеру, как же его можно отфильтровать и что это даст? ну залочили вы трафик, не проходит он дальше в сеть внутрь и че ? DDOS останавливается что ли ? Нет он будет долбить по вашему анонсу .... пока ваш блок будет анонсироваться, соответственно входящие 300Gb/s остануться на внешнем интерфейсе вашего апстрима (его бордера) ..... да, этот трафик не попадет внурь апстрима и не дойдет к вам но так же не дойдет и другой трафик на апстрима так как входящий канал слегка занят :) Или я че-то не так понимаю?:)
Romka_Kharkov, Так меня фильтровал мой апстрим можно сказать на халяву, а мелочь я отрезал через самопальный фильтр в ipfw :) Но, когда апстриму залили линк под 0, крику было на весь Рунет (((:
Ну так это говорит о том, что ваш Апстрим не готов работать с ддосом, так что ли ? По тому , что у меня проблем с досами не возникает в плане сотрудничества с моими апстримами. В большинстве случаев апстримам даже выгодно когда вас плавят, потому , что вы платите за эту полосу.... Но в случае когда умирает сам апстрим из за этого - впервые слышу..... Вы представляете себе, что будет если например L3 перестанет работать, пол интернета погрузиться в каменный век как минимум :)
Резюмируя данную тему, я понимаю, что если китайцы отправят по 10 кб каждый в сторону России то у последней 2 недели не будет выхода за рубеж?:)
Romka_Kharkov, 10 Гигабит я фильтровал на автомате. Эх еслибы 10 гигабит, а не этот "смерч". Верите нет на старом месте идеально была отлажена сетевая инфраструктура, была куча ip (мне их даже считать не приходилось в принципе).
А вот я всего 10G включен в апстрима... и думаю так же остальные 90%.... как же фильтровать это автоматом. ? :)
По моему пора вносить CVE В BGP протокол :D Надо разрешить любой AS возможность не анонсировать себя выбранным AS :)