Вопрос, а что же, по-вашему, я продаю? Вы являетесь моим клиентом? Что-то не припомню. Не видя ничего, вы пытаетесь тут что-то утверждать, весело. Ссылка на мою тему с отзывами в подписи, ознакомьтесь. А сейчас, всё что я сделаю, так это пожелаю вам добра и распрощаюсь с вами.
мне ваш клиент просто показывал ваши скрипты я просто удивился - "за что люди деньги берут".
я вам зла не желаю, не слил ваши исходники в паблик, отзывы - вода т.к у вас категория клиентов которая не понимает чего вы там накрутили на сервере.
---------- Добавлено 23.12.2012 в 21:18 ----------
theBlackWolf:
по поводу досят браузерным движком - если так ддосят, то необходим огромный ботнет ибо профит с 1 бота мизерный. Не встречал таких ботов, мб скинете ссылку где был обнаружен такой бот?
2013 год скоро, значит ваш ресурс не интересный и не достоин хорошего ddos.
не нужен огромный, достаточно 500-1000 медленных ботов которые обойдут вашу кашу с простановкой куки и зафлудят бэкенд, будет весело ;)
Нормальные способы вам тут не кто не раскроет так что топик не о чем, поищите уже были такие.
theBlackWolf: спасибо, понял что защиту куками без атаки не стоит включать. По поводу ява куков я сомневаюсь что приведенный код с хабра боты смогут выполнить
а я не сомневаюсь что браузер это не выполнит, вы понимаете что ддосят браузерным движком который работает в фоне.
theBlackWolf:
белый список модуль поддерживает, так что принципе можно избежать бана поисковых ботов
дело в том что вы не найдете все подсети дружелюбных пауков и прочих сервисов, скажу больше поисковики могут ходить вообще прикидываясь обычными юзерами для выявления всякого гавна на сайте которое ныкают от поисковиков.
theBlackWolf:
но встает вопрос о включении его во время атаки, полагаю тут нужен скрипт, который определит атаку, заменит конфиг нгикса и перезагрузит его.
уж такую простую задачу не решить :( .... а собрались от ддос защищаться :).
theBlackWolf:
Таким образом для меня выстраивается такая схема защиты
настраиваю ядро ос
limit_req_zone, limit_zone прописываю для nginx
пишу скрипт для iptables который будет банить самых агрессивных (на данный момент стоит скрипт ddos deflate) + скрипт который будет обнаруживать начало атаки изменять конфиг nginx для включения явакуков
с ддосом не по хттп борюсь настройкой ядра ос и iptables
и принципе если атака оч сильная то больше ничего я на уровне сервера сделать не смогу.
я все верно понял? ничего не пропустил?
только не копируйте чужие конфиги, можете сделать еще хуже) там не так уж много параметров которые реально имеет смысл крутить, например выкиньте nf_conntrack из ядра, включите syncookies, увеличте размеры очередей, можно уменьшить таймауты, не добавляйте правила в iptables с использованием connlimit, не заставляйте работать apache или чего у вас там.. во время ddos, отдавайте гостям из кэша.
от флуда канала не поможет "настройкой ядра ос и iptables"
дерзайте, что бы затестить можете сходить на хак форумы и заказать на себя атаку (только не радуйтесь раньше времени там скажем так больше половины реальные LOL досеры).
судя по информации, которую получил от наши техников, то лучше SSD бросать в хардовый рейд по кеш.
как ваш админ считает нужным пусть так и делает, если контроллер поддерживает то запросто можно использовать диск таким образом.
alex-proho:
если же все-таки для основной системы это все используется, то первое нужны хорошие котроллеры + кеш отключать ибо SSD очень много перезаписей и постоянной синхронизации долго не выдержат.
почему хорошие, я например в софт рейде могу закрутить, какой кэш отключать? если на запись то его вообще то не для этого отключают
у современных ssd приличный запас, я бы не за это переживал.
hosting_manager: А зачем объединять ssd-диски в RAID? Оба же умрут, причем одновременно :)
у ssd есть проблема - он может внезапно сдохнуть (контролер), не по причине износившихся ячеек.
я недавно пожалел в том что не делал raid 1 для ssd и экономил на фирме когда дома умер на одном пк ssd, теперь жду нормальные ssd и дорогой adaptec что бы сделать зеркало.
безусловно есть смысл как раз таки от вымирания микросхемы, а износ это дело второстепенное тут как бы проще.
вчерашний попкорн доедаю :)
сегодня без участия iluxa85 не интересно(
Вопрос, а что же, по-вашему, я продаю? Вы являетесь моим клиентом?
Что-то не припомню. Не видя ничего, вы пытаетесь тут что-то утверждать, весело.
Ссылка на мою тему с отзывами в подписи, ознакомьтесь. А сейчас, всё что я сделаю,
так это пожелаю вам добра и распрощаюсь с вами.
мне ваш клиент просто показывал ваши скрипты я просто удивился - "за что люди деньги берут".
я вам зла не желаю, не слил ваши исходники в паблик, отзывы - вода т.к у вас категория клиентов которая не понимает чего вы там накрутили на сервере.
---------- Добавлено 23.12.2012 в 21:18 ----------
по поводу досят браузерным движком - если так ддосят, то необходим огромный ботнет ибо профит с 1 бота мизерный. Не встречал таких ботов, мб скинете ссылку где был обнаружен такой бот?
2013 год скоро, значит ваш ресурс не интересный и не достоин хорошего ddos.
не нужен огромный, достаточно 500-1000 медленных ботов которые обойдут вашу кашу с простановкой куки и зафлудят бэкенд, будет весело ;)
Нормальные способы вам тут не кто не раскроет так что топик не о чем, поищите уже были такие.
спасибо, понял что защиту куками без атаки не стоит включать. По поводу ява куков я сомневаюсь что приведенный код с хабра боты смогут выполнить
а я не сомневаюсь что браузер это не выполнит, вы понимаете что ддосят браузерным движком который работает в фоне.
белый список модуль поддерживает, так что принципе можно избежать бана поисковых ботов
дело в том что вы не найдете все подсети дружелюбных пауков и прочих сервисов, скажу больше поисковики могут ходить вообще прикидываясь обычными юзерами для выявления всякого гавна на сайте которое ныкают от поисковиков.
но встает вопрос о включении его во время атаки, полагаю тут нужен скрипт, который определит атаку, заменит конфиг нгикса и перезагрузит его.
уж такую простую задачу не решить :( .... а собрались от ддос защищаться :).
Таким образом для меня выстраивается такая схема защиты
настраиваю ядро ос
limit_req_zone, limit_zone прописываю для nginx
пишу скрипт для iptables который будет банить самых агрессивных (на данный момент стоит скрипт ddos deflate) + скрипт который будет обнаруживать начало атаки изменять конфиг nginx для включения явакуков
с ддосом не по хттп борюсь настройкой ядра ос и iptables
и принципе если атака оч сильная то больше ничего я на уровне сервера сделать не смогу.
я все верно понял? ничего не пропустил?
только не копируйте чужие конфиги, можете сделать еще хуже) там не так уж много параметров которые реально имеет смысл крутить, например выкиньте nf_conntrack из ядра, включите syncookies, увеличте размеры очередей, можно уменьшить таймауты, не добавляйте правила в iptables с использованием connlimit, не заставляйте работать apache или чего у вас там.. во время ddos, отдавайте гостям из кэша.
от флуда канала не поможет "настройкой ядра ос и iptables"
дерзайте, что бы затестить можете сходить на хак форумы и заказать на себя атаку (только не радуйтесь раньше времени там скажем так больше половины реальные LOL досеры).
пишите в icq договоримся.
Рекомендую защиту zexis - у меня стоит его защита на сервере с сумарной посещаемостью более 100.000 хостов. После установки не падал ни разу.
Максимально забаненых ботов было как раз в районе 2000. Мелкие атаки 500-1000 идут почти каждый день. Сервер их теперь не замечает :)
значит вас не ддосили, раз не падал.
зы школо ддос с 1к неадекватных ботов это не ддос.
у zexis еще вменяемый софт, ++ ему в карму.
то что продает Evas это просто жесть, у меня бы совести не хватило такое продавать а ума такое сделать тем более.
Я не видел ддос ботов, которые бы понимали куки устанавливаемые джаваскриптом
я видел недавно, я сперва не понял юмора потом проверил и убедился.
куки было актуально год назад, уже нет)
методов много, сперва нужн перестать гуглить всякую хрень и научится думать самому.
анализ лога - хорошо, но это не реал тайм пока вы там анализируете вас 50 раз положат, если ботов много и то вы так и будете лежать.
и на закуску, не положат по http -> не проблема -> зальют канал.
судя по информации, которую получил от наши техников, то лучше SSD бросать в хардовый рейд по кеш.
как ваш админ считает нужным пусть так и делает, если контроллер поддерживает то запросто можно использовать диск таким образом.
если же все-таки для основной системы это все используется, то первое нужны хорошие котроллеры + кеш отключать ибо SSD очень много перезаписей и постоянной синхронизации долго не выдержат.
почему хорошие, я например в софт рейде могу закрутить, какой кэш отключать? если на запись то его вообще то не для этого отключают
у современных ssd приличный запас, я бы не за это переживал.
немного оффтопа тс.
А зачем объединять ssd-диски в RAID? Оба же умрут, причем одновременно :)
у ssd есть проблема - он может внезапно сдохнуть (контролер), не по причине износившихся ячеек.
я недавно пожалел в том что не делал raid 1 для ssd и экономил на фирме когда дома умер на одном пк ssd, теперь жду нормальные ssd и дорогой adaptec что бы сделать зеркало.
безусловно есть смысл как раз таки от вымирания микросхемы, а износ это дело второстепенное тут как бы проще.
такс... пошел я за попкорном :)
сейчас будет война