romagromov: Вот короче что ответили в поддержке в итоге
Попросил вырубить исходящее соединение и включить сервер... Страшно, а что еще делать?
И как искать заразу?
Какие есть инструменты есть лично у меня?
Я готов сам глушить по очереди сайты, и проверять прекратилась ли атака, но какими инструментами это все делать....
возьмите ip-kvm там и ищите, без этого все равно не разблокируют, скажут мол у вас ip отключен и вы не могли решить проблему.
LEOnidUKG: У меня на серваке наглухо забанены вот эти страны:
CN,JP,KP,KR,PK,TW,HK,BR,IN,TR,ID
Ни к DNS, ни к самому серверу доступа нет. Ни пингуется, ни подключается.
Уже 2-й год живу спокойно. Раньше переодически были наплывы какого-то не понятно трафика т.е. флуда.
у мну просто днс на отдельных серверах, а на нодах тоже закрыто
iptables -I INPUT -p tcp ! -i lo -m geoip --src-cc AP,CN,IN,GR,SG,JP,HK,KR,TW,TH,TR,MY -j DROP
задача теперь такая что бы вообще ип им не резволить, а в случае ddos вообще не кому кроме ру и ua т.к боюсь гигабитных udp сюрпризов.
ValdisRu: имхо тогда уж лучше геоип в фаерволе включать и банить все соединения китайцев (это если днс на своем сервере, т.к. если для китайцев днс оставить открытым и отвечать им 127.0.0.1, то они его самого смогут грузить)
т.е. как раз то что вы хотите - Азия, Африка и т.п - 127.0.0.1 (ну или какой нибудь из яндексовских ип, например, - пусть их поддосят))) плюс еще куча всяких плюшек, на хабре была их статья http://habrahabr.ru/company/smscoin/blog/129715/
я так понял это смс партнерки для себя сделали и вроде как всем остальным за плату предоставляют возможность пользоваться (сам не пробовал, но взял себе на заметку)
спасибо за идею по поводу netfilter, действительно проще сразу на днс серверах порезать в фаерволе чем ковырять bind.
"http://couchness.com/ru/services/"
не подойдет, если на них нечайно udp придет пару гигов - отключат походу.
+
доменов нужно много, вообщем свои ns сервера нужны c round-robin.
Romka_Kharkov: MaxMind GEOIP На сколько я помню платный, есть какие-то базы, которые конечно отражают некую правдивость, но если они датированы 2-3 годами ранее от сейчас.... смысла в этом малова-то как-то... больше путаниц может возникнуть... выясниться что некая сеть из APNIC в ARIN Перекочевала в этом году... и ппц... базу только платную брать, иначе пол россии будет считаться африкой :D (условно)
Вот найти бы возможность генерирования баз IP относительно текущих баз RIR ... это было бы круто !!! Но на сколько я понимаю везде ограничения по запросам, не получится их rwhois долбить 20 раз в минуту для каждого клиента ...:(
$50 разово, только обновления иногда придется брать, вообщем не дорого если штуковина окажется полезной то почему бы и не заплатить.
пока на бесплатной можно потестить, кстати во время отладки нужно проанализировать на сколько вреден модуль тоесть посмотреть ложные срабатывания.
Вот короче что ответили в поддержке в итоге
Попросил вырубить исходящее соединение и включить сервер... Страшно, а что еще делать?
И как искать заразу?
Какие есть инструменты есть лично у меня?
Я готов сам глушить по очереди сайты, и проверять прекратилась ли атака, но какими инструментами это все делать....
возьмите ip-kvm там и ищите, без этого все равно не разблокируют, скажут мол у вас ip отключен и вы не могли решить проблему.
У меня на серваке наглухо забанены вот эти страны:
CN,JP,KP,KR,PK,TW,HK,BR,IN,TR,ID
Ни к DNS, ни к самому серверу доступа нет. Ни пингуется, ни подключается.
Уже 2-й год живу спокойно. Раньше переодически были наплывы какого-то не понятно трафика т.е. флуда.
у мну просто днс на отдельных серверах, а на нодах тоже закрыто
iptables -I INPUT -p tcp ! -i lo -m geoip --src-cc AP,CN,IN,GR,SG,JP,HK,KR,TW,TH,TR,MY -j DROP
задача теперь такая что бы вообще ип им не резволить, а в случае ddos вообще не кому кроме ру и ua т.к боюсь гигабитных udp сюрпризов.
абузоустойчивый? и держали в хецнере.
имхо тогда уж лучше геоип в фаерволе включать и банить все соединения китайцев (это если днс на своем сервере, т.к. если для китайцев днс оставить открытым и отвечать им 127.0.0.1, то они его самого смогут грузить)
другой вопрос если днс сторонний, кстати http://couchness.com/ru/services/ вроде имеет такой функционал (и недорого):
т.е. как раз то что вы хотите - Азия, Африка и т.п - 127.0.0.1 (ну или какой нибудь из яндексовских ип, например, - пусть их поддосят))) плюс еще куча всяких плюшек, на хабре была их статья http://habrahabr.ru/company/smscoin/blog/129715/
я так понял это смс партнерки для себя сделали и вроде как всем остальным за плату предоставляют возможность пользоваться (сам не пробовал, но взял себе на заметку)
спасибо за идею по поводу netfilter, действительно проще сразу на днс серверах порезать в фаерволе чем ковырять bind.
"http://couchness.com/ru/services/"
не подойдет, если на них нечайно udp придет пару гигов - отключат походу.
+
доменов нужно много, вообщем свои ns сервера нужны c round-robin.
:o давняя личная неприязнь к продуктам ISPsystem, также как отталкивают продукты Microsoft...
ну тогда я за SolusVM отдам голос :)
Перенести крупные сайты на отдельные сервера, по одному сайту на сервер. Чтоб взлом одного сайта не приводил к проблемам с другими.
жестко, каждому сайту по серверу.
вполне достаточно по юзеру на 1 сервере.
пишите заявление что бы ип разблокировали.
....
хотя нет, берите ip-kvm и устраняйте проблему а после уже заявление.
попробуйте найти другой саппорт который найдет источник и устранит проблему, reinstall нужен только если систему похекали.
"Честно говоря я вообще ошарашен, что через сайт, может нарушится целостность системы, тем более если речь идет о linux..."
а если в вашем сайте лежит ддосилка и заливает чей то сервер?
vdsmgr не вижу, с kvm он good работает
MaxMind GEOIP На сколько я помню платный, есть какие-то базы, которые конечно отражают некую правдивость, но если они датированы 2-3 годами ранее от сейчас.... смысла в этом малова-то как-то... больше путаниц может возникнуть... выясниться что некая сеть из APNIC в ARIN Перекочевала в этом году... и ппц... базу только платную брать, иначе пол россии будет считаться африкой :D (условно)
Вот найти бы возможность генерирования баз IP относительно текущих баз RIR ... это было бы круто !!! Но на сколько я понимаю везде ограничения по запросам, не получится их rwhois долбить 20 раз в минуту для каждого клиента ...:(
$50 разово, только обновления иногда придется брать, вообщем не дорого если штуковина окажется полезной то почему бы и не заплатить.
пока на бесплатной можно потестить, кстати во время отладки нужно проанализировать на сколько вреден модуль тоесть посмотреть ложные срабатывания.
Чем реализовано?
я пока не делал но последние события заставили задуматься о том что таким странам вообще нефиг отдавать нормальный ip.
http://www.caraytech.com/geodns/