alexbez#: Даже не пытайтесь понять, что он пишет. Это уникальные ip и именно за сутки на его графике. Вот так выглядит таблица полностью
Да я так и понял, спасибо за полный график. Но в целом да там написан промежуток и что это за число =) Я поэтому и уточнил как может виртуалка от 3к уников упасть за сутки, так как это в среднем 2 запроса в минуту =)
damn-doubleclick#: Что за WAF/логи на картинке, нашли замену Cloudflare?)
waf сейчас по сути набор правил свой на nginx сделанный как выше писали на мапах, есть вот такие проекты https://github.com/mitchellkrogza/nginx-ultimate-bad-bot-blocker но я честно пока не пробовал, есть https://www.openappsec.io/ это с использованием ML какое то время учится потом включаешь и работает, есть панелька в облаке и естественно бесплатная версия.
А на картинке это просто графана, дашборд строится по метрикам из прометеуса, в прометеус пишет мой сайт, то есть кастомные штуки.
Всё, понятно с вами. Сервер у вас дополнительный перед сайтом который распределяет по DNS запросы. 2 аккаунт клоудфларе на всякий случай, чтобы чуть что подменить. 😀
Конечно, любой узел в сети увеличивает лентенси запроса, зачем ставить какую либо защиту перед сервером если никто не атакует, зато для всех увеличивает время загрузки вашего сайта? CF только на случай подменить и то потому что отключили ddos-guard по тем же причинам, но все конфиги и настройки всегда были на своих серверах, у CF как и у других на сколько помню есть ограничения на правила, плюс меняя провайдеров приходится каждый раз эти правила переизобретать.
Не за сутки, табличка раскрывается когда наводишь т.е. в данное время. Разберитесь сами в CF.
Данное время большое, я не пользуюсь в целом CF я собираю свои мониторинги, а по вашему графику не понятно что значит сейчас, это запросов в секунду? И как бы я понял это? Но и непонятно запросов куда? На статику? На динамику? У вас же CF проксирует все запросы и скрипты и картинки и css которых на страницы больше, то есть на 1 запрос к динамике может быть сотня-другая запросов на скрипты и картинки
master32#: самый дешевый гиговый сервер 5к руб, но он не держит 600Тб ддос...
Ради такого ддоса можно и на CF переключить, но это сильно дорого будет стоить заказчику, а мне по сути бесплатно. Последнее что я видел и с чем сталкивался это выбирают какой то тяжелый скрипт без кеша типа авторизации например или поиска и просто долбят с разных IP адресов. Порой достаточно было потушить скрипт на время чтобы отстали, либо забанить по АС если это с одного провайдера хостера например, но прям каких то злых и лютых ддос я читаю только в новостях =)) обычно все сильно прозаичнее и имея мониторинг в целом можно быстро погасить всплески там не нужны прям гигабиты. Но и справедливости ради, у селектела неплохие каналы, просто по трафу ограничены
master32#: лично я за 20+ лет в онлайне ни разу не сталкивался с ддосом, хотя в паре ниш плотно сижу с топ3
Нет я сталкивался, с разными его проявлениями, кто то формы заспамнивал чтоб видимо пропускали клиентов, кто то пытался накрыть и требовал выкуп в пару тыщ баксов в крипте, но обычно со всем справлялись своими силами и они отставали достаточно быстро, так как бесплатного доса и ддоса не бывает так то.
master32#: зато сталкивался с отключением от CF, когда попросили перейти с фри тарифа на платный за $200)
CF в целом всегда устраивал и ничего не просил, проблемы начались когда Украина закрыла по ИП от РФ и траф пытался идти через украинские кешеры CF, потом началась эпопея с блокировками от РКН. Мне кажется проще не прикрываться CF в 98% времени и только если прям прижмет и своими силами не справляешься, перекинуть траф на CF пусть и с частичными потерями в РФ. Ну а если прям это не залетная атака на дурачка, а целенаправленный заказ, то лучше прикрыться российскими платными защитами.
PS. Но я почему то уверен, что большая часть "ддос атак" местных сайтов пользователей это просто неоптимальные скрипты, настройки серверов\шареды и так далее. И просто наплыв ботов который я наблюдаю ежедневно с пиками просто притушивает им сайт
PPS. Вот например, что может парсить дубльгис на сайте?
да надо определиться. клаудфлар это в первую очередь антиддос, настоящий полноценный, который можно самому настроить в WAF в зависимости от параметров атаки так, чтоб на 100% отсечь ддос ботов, при этом не задеть остальных живых и даже не напрягать их лишней капчей. и вот в этом ему нету равных в россии ни за какие деньги. и получается покумекать в nginx можно, но это надо ставить некоторое количество мощных серверов перед сервером с сайтом, чтоб на них распределять атаку. но это тоже сотни $ месяц.
В целом у меня в бане большинство облаков и хостеров, так как на ру сегмент сайт то по блочены многие страны с которых летят паразиты типа Бразилии, Азии и так далее, от туда куда заказчик все равно продать не сможет. На уровне nginx настроен waf но больше побанены боты и разные попытки подобрать уязвимости. Но у меня есть виртуалка которая принимает все запросы, на ней 2 сетевых интерфейса с разными ip, DNS на CF и если уж прям прилетит настолько сильный ddos с которым не справится мой nginx, то я отключу публичный интерфейс и в CF включу проксирование на некоторое время, потом верну обратно сетевой интерфейс и выключу проксирование.
Ну и если уж говорить про сервера перед сайтом, на самом деле они не нужны какие то дорогие, просто с хорошей полосой пропускания и dns сервер который может чекать их по нагрузке и выдавать разные ip, не сильно то прям уж и дорого.
а чем понравился кадди? я тестил его. он в производительности не дотягивает до nginx.
Что в вашем понимание производительность nginx и когда вы в неё упирались? Нет у меня ингрессом тоже в основном выступает nginx, но кадди сильно удобнее, автоматический ssl, http/3, сжатие brotli из коробки, для nginx надо его перекомпиливать, намного проще конфиги, не надо перезагружать для применения. В целом там много всего удобного, просто было странно слышать что практического удобства нет =)) я может соглашусь в какой то синтетики в том что nginx все таки на си написанный, а кадди на го где есть рантайм и сборщик мусора чисто технически, но упереться в него на том же вордпрессе будет невозможно, а панели в основном для такого и ставят.
Даже не пытайтесь понять, что он пишет. Это уникальные ip и именно за сутки на его графике. Вот так выглядит таблица полностью
Да я так и понял, спасибо за полный график. Но в целом да там написан промежуток и что это за число =) Я поэтому и уточнил как может виртуалка от 3к уников упасть за сутки, так как это в среднем 2 запроса в минуту =)
Что за WAF/логи на картинке, нашли замену Cloudflare?)
waf сейчас по сути набор правил свой на nginx сделанный как выше писали на мапах, есть вот такие проекты https://github.com/mitchellkrogza/nginx-ultimate-bad-bot-blocker но я честно пока не пробовал, есть https://www.openappsec.io/ это с использованием ML какое то время учится потом включаешь и работает, есть панелька в облаке и естественно бесплатная версия.
А на картинке это просто графана, дашборд строится по метрикам из прометеуса, в прометеус пишет мой сайт, то есть кастомные штуки.
Всё, понятно с вами. Сервер у вас дополнительный перед сайтом который распределяет по DNS запросы. 2 аккаунт клоудфларе на всякий случай, чтобы чуть что подменить. 😀
Конечно, любой узел в сети увеличивает лентенси запроса, зачем ставить какую либо защиту перед сервером если никто не атакует, зато для всех увеличивает время загрузки вашего сайта? CF только на случай подменить и то потому что отключили ddos-guard по тем же причинам, но все конфиги и настройки всегда были на своих серверах, у CF как и у других на сколько помню есть ограничения на правила, плюс меняя провайдеров приходится каждый раз эти правила переизобретать.
Не за сутки, табличка раскрывается когда наводишь т.е. в данное время. Разберитесь сами в CF.
Данное время большое, я не пользуюсь в целом CF я собираю свои мониторинги, а по вашему графику не понятно что значит сейчас, это запросов в секунду? И как бы я понял это? Но и непонятно запросов куда? На статику? На динамику? У вас же CF проксирует все запросы и скрипты и картинки и css которых на страницы больше, то есть на 1 запрос к динамике может быть сотня-другая запросов на скрипты и картинки
самый дешевый гиговый сервер 5к руб, но он не держит 600Тб ддос...
Ради такого ддоса можно и на CF переключить, но это сильно дорого будет стоить заказчику, а мне по сути бесплатно. Последнее что я видел и с чем сталкивался это выбирают какой то тяжелый скрипт без кеша типа авторизации например или поиска и просто долбят с разных IP адресов. Порой достаточно было потушить скрипт на время чтобы отстали, либо забанить по АС если это с одного провайдера хостера например, но прям каких то злых и лютых ддос я читаю только в новостях =)) обычно все сильно прозаичнее и имея мониторинг в целом можно быстро погасить всплески там не нужны прям гигабиты. Но и справедливости ради, у селектела неплохие каналы, просто по трафу ограничены
лично я за 20+ лет в онлайне ни разу не сталкивался с ддосом, хотя в паре ниш плотно сижу с топ3
Нет я сталкивался, с разными его проявлениями, кто то формы заспамнивал чтоб видимо пропускали клиентов, кто то пытался накрыть и требовал выкуп в пару тыщ баксов в крипте, но обычно со всем справлялись своими силами и они отставали достаточно быстро, так как бесплатного доса и ддоса не бывает так то.
зато сталкивался с отключением от CF, когда попросили перейти с фри тарифа на платный за $200)
CF в целом всегда устраивал и ничего не просил, проблемы начались когда Украина закрыла по ИП от РФ и траф пытался идти через украинские кешеры CF, потом началась эпопея с блокировками от РКН. Мне кажется проще не прикрываться CF в 98% времени и только если прям прижмет и своими силами не справляешься, перекинуть траф на CF пусть и с частичными потерями в РФ. Ну а если прям это не залетная атака на дурачка, а целенаправленный заказ, то лучше прикрыться российскими платными защитами.
PS. Но я почему то уверен, что большая часть "ддос атак" местных сайтов пользователей это просто неоптимальные скрипты, настройки серверов\шареды и так далее. И просто наплыв ботов который я наблюдаю ежедневно с пиками просто притушивает им сайт
PPS. Вот например, что может парсить дубльгис на сайте?
Та какие 600ТБ? На память оставил, если бы не cloudflare то моя VPSка бы потухла..
Это картинка говорит о том что к вам за сутки пришло 3240 уникальных пользователей? =)) а при чем тут CF? =))
Забыли добавить главное RAM побольше, а то тут жалуются что VDS 1GB RAM тормозит)))
Это не про go так то
да надо определиться. клаудфлар это в первую очередь антиддос, настоящий полноценный, который можно самому настроить в WAF в зависимости от параметров атаки так, чтоб на 100% отсечь ддос ботов, при этом не задеть остальных живых и даже не напрягать их лишней капчей. и вот в этом ему нету равных в россии ни за какие деньги. и получается покумекать в nginx можно, но это надо ставить некоторое количество мощных серверов перед сервером с сайтом, чтоб на них распределять атаку. но это тоже сотни $ месяц.
В целом у меня в бане большинство облаков и хостеров, так как на ру сегмент сайт то по блочены многие страны с которых летят паразиты типа Бразилии, Азии и так далее, от туда куда заказчик все равно продать не сможет. На уровне nginx настроен waf но больше побанены боты и разные попытки подобрать уязвимости. Но у меня есть виртуалка которая принимает все запросы, на ней 2 сетевых интерфейса с разными ip, DNS на CF и если уж прям прилетит настолько сильный ddos с которым не справится мой nginx, то я отключу публичный интерфейс и в CF включу проксирование на некоторое время, потом верну обратно сетевой интерфейс и выключу проксирование.
Ну и если уж говорить про сервера перед сайтом, на самом деле они не нужны какие то дорогие, просто с хорошей полосой пропускания и dns сервер который может чекать их по нагрузке и выдавать разные ip, не сильно то прям уж и дорого.
а чем понравился кадди? я тестил его. он в производительности не дотягивает до nginx.
Что в вашем понимание производительность nginx и когда вы в неё упирались? Нет у меня ингрессом тоже в основном выступает nginx, но кадди сильно удобнее, автоматический ssl, http/3, сжатие brotli из коробки, для nginx надо его перекомпиливать, намного проще конфиги, не надо перезагружать для применения. В целом там много всего удобного, просто было странно слышать что практического удобства нет =)) я может соглашусь в какой то синтетики в том что nginx все таки на си написанный, а кадди на го где есть рантайм и сборщик мусора чисто технически, но упереться в него на том же вордпрессе будет невозможно, а панели в основном для такого и ставят.
но практического удобства в и профита по ресурсам в кадди нету
практического удобства? ну окей =))