Andreyka: При этом всем ты не можешь уже обеспечить того уровня качества что был раньше
По крайней мере когда ты фрилансил никто не жаловался что мол взял денег и ничего не сделал
Именно по этому я все предпочитаю делать сам
😂
Веселые персонажи тут местами проскакивают :)
Сергей Брин с Ларри Пейджем тоже все делают сами? Или у них не качественно получается?
mikmik: кто-то там заявил чуть выше что может с легкостью фильтрануть 1mpps http-флуда))) Вы вообще представляете что это за атака?, это просто п****ц всему ЦОД-у имхо=) и как может быть http пакет без syn? oO:)
SYN - запрос на установку TCP соединения. По установленному TCP соединению может передаваться сколько угодно HTTP запросов, при условии что включен keep alive.
ЦОД не уложит, разве что штормом, но у нормальных цодов обычно на общий влан "предохранитель" стоит. А вот сервер запросто свалится.
Andron_buton:
NET | eth2 41% | pcki 23518 | pcko 71361 | si 6467 Kbps | so 415 Mbps |
NET | eth0 40% | pcki 25805 | pcko 68738 | si 6423 Kbps | so 407 Mbps |
NET | eth1 34% | pcki 27995 | pcko 58314 | si 7072 Kbps | so 341 Mbps |
NET | eth3 30% | pcki 44727 | pcko 52930 | si 59 Mbps | so 308 Mbps |
ENELIS: Если сервак выделенный под фильтрацию (память гигабайт 8-12 лучше + 8-12 ядер + хорошие, ХОРОШИЕ сетевые карты с поддержкой трединга (Myri)) то он будет намного лучше и дешевле рутера+файрволла :) + можно будет фильтровать @ line-rate 10гбит, но вот специалиста не найдете, приоритет интерраптов можно нормально распределить кастомными дровами или скедулером.
Ахинея. Полнейшая.
P.S. Да, и в гигабитах роутинг не меряют. 10Гбит - это может быть ~100KPPS (в случае jumbo фреймов), а может быть 10MPPS (в случае син флуда). В двух этих случаях поведение Вашего софтварного роутера будет разное. Во втором случае он тупо сдохнет на второй секунде флуда и сеть накроет arp storm. Так что не порите чушь, пожалуйста.
P.P.S. Если надумаете таким бредом заняться - попросите, пожалуйста, ДЦ сразу поселить Вас в отдельный VLAN, что бы нормальным людям не портить жизнь :)
Andron_buton: Я конечно понимаю что у железок проц заточен именно под пакеты, а не под общие задачи, но а) стоимость такого решение на порядки превосходит стоимость серваков способных с этим справится. б) Такую хрень после атаки нельзя переквалифицировать в обычный сервак.
А ДЦ попросить ацлку навесить, не? Обязательно покупать? ;)
ENELIS: Ну подобного рода флуд (синфлуд) не отфильтровать. В нашем случае мы фильтровали UDP на 3560 со списка IP при DDoS на DNS, после 250го IP свитч умер, слава богу в running-config не попало.
Вот! С этого и надо было начинать!
Естественно насовывание кучи правил убьет CPU. Вы бы туда еще Full-View запихнули 😂
Я говорил о том, что если игра работает по udp протоколу, то одним единственным правилом можно закрыть TCP. И этот трафик спокойно отфильтруется без ущерба для производительности. Всего лишь. А Вы тут воду мутите и провоцируете меня на бесплатные лекции :)
Если Вам нужен TCP, то да, паразитный SYN от непаразитного свичем разбирать - это идиотизм. Тут ASA нужна или XT'шка. Но отфигачить одним махом весь TCP (предполагается, что TCP не нужен) при помощи свича - запросто.
P.S. Да, вот еще что. Мне очень интересно, а от чего ж у Вас свич умер, если ACLи не попали в running-config? ;)
ENELIS: Причина простая, перекладывание пакетов не вызывает его подробный анализ (и прием в память), который нужен для фильтрации.
Чего? Это Вы что нагородили сейчас? Расскажите мне, пожалуйста, каким таким хитрым раком фреймы переходят от порта к порту минуя память? Китайцы, сидящие в коммутаторе, их перекладывают?
Вот, например, пришел фрейм. В какой порт его всунуть - еще неизвестно, коммутатору нужно сотворить unicast flooding чтобы найти порт назначения и передать туда фрейм. Уважаемые знатоки, внимание вопрос: где в этот момент находится фрейм? В заднице у негра? Нет. В памяти.
Вначале фрейм попадает по входной буфер (стало быть помещается в память), затем проверяется FCS фрейма, если фрейм инвалидный - уничтожается, если валидный - по MAC таблице определяется порт или влан куда засунуть фрейм (при необходимости коммутатор выполняет unicast flooding), затем ссылка передается из входного буфера в выходной и фрейм отправляется куда следует. Во время всего этого процесса фрейм хранится в памяти. В тупых коммутаторах обычно используют САМ память. В случае с более умными каталистами использованием TCAM и прочих прелестей прогресса позволяет реализовать "заглядывание" в отдельные L3 поля без "полного анализа" и соответственно получить фильтрацию на скорости близкой к Line Rate.
---------- Добавлено в 02:31 ---------- Предыдущее сообщение было в 02:24 ----------
Andron_buton: Чем сервак - не железо?
Тем, что не хардварная обработка пакетов. А (если на пальцах объяснять) прикрученная левой рукой через задницу с драйверами и прерываниям к посреднику ядру, который очень занятой чувак, он обязательно отправит пакет для обработки в процессор, но только уже в понедельник, т.к. сейчас у него обед, а потом встреча. В четверг ему скорее всего вернут результат, так что лучше всего приходите в следующую пятницу - усё будет.
Продается абсолютно новый сервер в Киеве.
1U NEC
2x Quad-Core Intel Xeon Processor E5405, 2.0GHz (1333MHz, L2-12MB, S771)
DIMM DDR2 24GB ECC FBD DDR2-667 PC2-5300F Qimonda
Накопитель HDD 146,8GB Seagate Cheetah 15K.5 ST3146855SS 15K rpm
Serial Attached SCSI (SAS), 16MB, 3.5" (00) 3 шт.
Цена 2500$.
Документы когда куплен и прочее имеется, покупатель сможет убедиться, что он новый.
Продажа при личной встрече.
кто-нибудь может купить себе для хостинга, срочно нужны деньги перед НГ
А джунипера МХ-80 у Вас нету? ;)
А то тут знакомый интересуется :)
На видяхах что-то считать собрались? По электропитанию не впишитесь по мощности.
Я просто настраиваю сервера так, что они не падают
🍿
А можете настроить так, что б диски не сыпались?
А от DDoS'а заговорить?
А подсветку матрицы ноутбука полечите по фотографии или Вы только по серверам?
P.S. ЧСВ over9000 детектед.
Да, кстати, как я и предполагал, это вакансия не главного админа. Вон рядом вакансия старшего администратора: http://www.reg.ru/company/jobs/senior-sysop
Что Андрейка скажет на сей счет?
При этом всем ты не можешь уже обеспечить того уровня качества что был раньше
По крайней мере когда ты фрилансил никто не жаловался что мол взял денег и ничего не сделал
Именно по этому я все предпочитаю делать сам
😂
Веселые персонажи тут местами проскакивают :)
Сергей Брин с Ларри Пейджем тоже все делают сами? Или у них не качественно получается?
кто-то там заявил чуть выше что может с легкостью фильтрануть 1mpps http-флуда))) Вы вообще представляете что это за атака?, это просто п****ц всему ЦОД-у имхо=) и как может быть http пакет без syn? oO:)
SYN - запрос на установку TCP соединения. По установленному TCP соединению может передаваться сколько угодно HTTP запросов, при условии что включен keep alive.
ЦОД не уложит, разве что штормом, но у нормальных цодов обычно на общий влан "предохранитель" стоит. А вот сервер запросто свалится.
NET | eth2 41% | pcki 23518 | pcko 71361 | si 6467 Kbps | so 415 Mbps |
NET | eth0 40% | pcki 25805 | pcko 68738 | si 6423 Kbps | so 407 Mbps |
NET | eth1 34% | pcki 27995 | pcko 58314 | si 7072 Kbps | so 341 Mbps |
NET | eth3 30% | pcki 44727 | pcko 52930 | si 59 Mbps | so 308 Mbps |
И что тут удивительного?
За 1500 никто в здравом уме релокейшн не делает
Похоже кто-то верит в мифический кризис
Таки действительно сложно технический 😂
Ну что ж... поясню еще раз. 1500 - это потолок для удаленки. Если хочешь БОЛЬШЕ - переезд.
Как пишет ТС, что-то у ДЦ не получается...
Ну тогда в морг к тому у кого получается. А при 1MPPS получится только у того, у кого есть нужная железяка.
Если сервак выделенный под фильтрацию (память гигабайт 8-12 лучше + 8-12 ядер + хорошие, ХОРОШИЕ сетевые карты с поддержкой трединга (Myri)) то он будет намного лучше и дешевле рутера+файрволла :) + можно будет фильтровать @ line-rate 10гбит, но вот специалиста не найдете, приоритет интерраптов можно нормально распределить кастомными дровами или скедулером.
Ахинея. Полнейшая.
P.S. Да, и в гигабитах роутинг не меряют. 10Гбит - это может быть ~100KPPS (в случае jumbo фреймов), а может быть 10MPPS (в случае син флуда). В двух этих случаях поведение Вашего софтварного роутера будет разное. Во втором случае он тупо сдохнет на второй секунде флуда и сеть накроет arp storm. Так что не порите чушь, пожалуйста.
P.P.S. Если надумаете таким бредом заняться - попросите, пожалуйста, ДЦ сразу поселить Вас в отдельный VLAN, что бы нормальным людям не портить жизнь :)
Я конечно понимаю что у железок проц заточен именно под пакеты, а не под общие задачи, но
а) стоимость такого решение на порядки превосходит стоимость серваков способных с этим справится.
б) Такую хрень после атаки нельзя переквалифицировать в обычный сервак.
А ДЦ попросить ацлку навесить, не? Обязательно покупать? ;)
Ну подобного рода флуд (синфлуд) не отфильтровать. В нашем случае мы фильтровали UDP на 3560 со списка IP при DDoS на DNS, после 250го IP свитч умер, слава богу в running-config не попало.
Вот! С этого и надо было начинать!
Естественно насовывание кучи правил убьет CPU. Вы бы туда еще Full-View запихнули 😂
Я говорил о том, что если игра работает по udp протоколу, то одним единственным правилом можно закрыть TCP. И этот трафик спокойно отфильтруется без ущерба для производительности. Всего лишь. А Вы тут воду мутите и провоцируете меня на бесплатные лекции :)
Если Вам нужен TCP, то да, паразитный SYN от непаразитного свичем разбирать - это идиотизм. Тут ASA нужна или XT'шка. Но отфигачить одним махом весь TCP (предполагается, что TCP не нужен) при помощи свича - запросто.
P.S. Да, вот еще что. Мне очень интересно, а от чего ж у Вас свич умер, если ACLи не попали в running-config? ;)
Причина простая, перекладывание пакетов не вызывает его подробный анализ (и прием в память), который нужен для фильтрации.
Чего? Это Вы что нагородили сейчас? Расскажите мне, пожалуйста, каким таким хитрым раком фреймы переходят от порта к порту минуя память? Китайцы, сидящие в коммутаторе, их перекладывают?
Вот, например, пришел фрейм. В какой порт его всунуть - еще неизвестно, коммутатору нужно сотворить unicast flooding чтобы найти порт назначения и передать туда фрейм. Уважаемые знатоки, внимание вопрос: где в этот момент находится фрейм? В заднице у негра? Нет. В памяти.
Вначале фрейм попадает по входной буфер (стало быть помещается в память), затем проверяется FCS фрейма, если фрейм инвалидный - уничтожается, если валидный - по MAC таблице определяется порт или влан куда засунуть фрейм (при необходимости коммутатор выполняет unicast flooding), затем ссылка передается из входного буфера в выходной и фрейм отправляется куда следует. Во время всего этого процесса фрейм хранится в памяти. В тупых коммутаторах обычно используют САМ память. В случае с более умными каталистами использованием TCAM и прочих прелестей прогресса позволяет реализовать "заглядывание" в отдельные L3 поля без "полного анализа" и соответственно получить фильтрацию на скорости близкой к Line Rate.
---------- Добавлено в 02:31 ---------- Предыдущее сообщение было в 02:24 ----------
Чем сервак - не железо?
Тем, что не хардварная обработка пакетов. А (если на пальцах объяснять) прикрученная левой рукой через задницу с драйверами и прерываниям к посреднику ядру, который очень занятой чувак, он обязательно отправит пакет для обработки в процессор, но только уже в понедельник, т.к. сейчас у него обед, а потом встреча. В четверг ему скорее всего вернут результат, так что лучше всего приходите в следующую пятницу - усё будет.