ENELIS: deltahost.com.ua Вы хоть раз на этих дикообразах фильтровать пытались? У Вас CPU на них вырастет до +100 и через пять сек он ляжет, я говорю о простых правилах на фильтрацию UDP, а не на TCP syn.
Forwarding Rate != filter rate.
Да, нормально UDP фильтруется. Проверьте перед тем как домыслы строить :)
iluxa85: deltahost.com.ua, я не буду с Вами спорить.
Но скажу одно, 1mpps http флуда фильтруется на ура, а вот когда валит syn флуд + спуфинг я бы не делал таких заявлений насчет выдержит или не выдержит роутер.
И насчет того что дошел ли траф до жертвы или нет тут спорный вопрос, вы его видели на сервере? лично я нет.
Вы глухонемой штоле? Или читали по диагонали? В заголовке темы написано "где фильтровать синфлуд?!". При чем тут HTTP флуд? С какого перепугу Вы его сюда приплели?
Теперь касательно роутеров.
1MPPS не переварит только SOHO роутер.
Вот Вам спеки самых простеньких каталистов, учите матчасть:
mikmik: не поверите....)))) да, да, самая мерзкая, та самая, которую не любят почти все хостеры, самая злобная в плане нечестной конкуренции, самая-самая л2
Она вроде по UDP работает? Если да, то попросите ДЦ порезать TCP на Ваш адрес (разрешить только с нескольких айпи для удаленного подключения и т.д.).
---------- Добавлено в 16:36 ---------- Предыдущее сообщение было в 16:35 ----------
Andreyka: У меня очень большой опыт по защите от атак той самой игры Обращайтесь погляжу, что можно сделать
Но как показывает практика - залог успеха правильный хостер
А расскажите нам, что Вы собираетесь делать с 1MPPS трафика? :)
---------- Добавлено в 16:42 ---------- Предыдущее сообщение было в 16:36 ----------
ENELIS: Не обязательно. Нормально интеловская сетевушка 750 держит. 1000 не встречали, но 750-500 без проблем проходит с яндекс дровами под бсд.
500-750 - это цифра, на которой у Вас кол-во дропов уже мешало открытию страницы. До 500 Вы не замечали потому, что дропы не мешали открытию, но они были. И дропы начинаются где-то после 200K. Проверялось на 8 векторной интеловой сетевке с различными дровами, разницы в которых, кстати, никакой, если в карточке больше 1 вектора, т.к. "горлышком" в данном случае является реализация TCP стека в ядре: на каждый SYN будет отправлен SYN,ACK, а по прошествии 15 секундного таймаута еще и 3 ретрансмита. При дефолтных настройках вся эта катавасия с ретрансмитами займет 45 секунд на 1 SYN. А теперь посчитайте сколько SYN'ов Вам вольют дополнительно за эти 45 секунд. И даже если подрезать таймауты и поправить стек, до 1 ретрансимта и 1 секунды таймаута (с меньшими значениями отвалится много нормальных клиентов) - все равно кол-во соединений будет наростать лавинообразно.
Так что дропы, которые не заметны при серфинге - это не "держит". Тут у человека, как бы, риалтайм траффик.
---------- Добавлено в 16:46 ---------- Предыдущее сообщение было в 16:42 ----------
iluxa85: ИМХО. Сины надо отсекать на роутере. Но вот 1mpps на не каждый роутер вытянет.
Ну да. DIR-400 не выдержит 😂
Если трафик до жертвы доходит - значит роутер вытягивает, не так ли? Любой L3 свич выдержит. Даже тупенькие 3комовские бейслайны пропускают толи 50, толи 100 MPPS. А цисковские гробы с супервизорами есть и по 400 MPPS и выше :)
Andreyka: В общем то я не просто технический специалист
Сложно технический?
Ну тогда попробую на пальцах: за штуку баксов на периферии хорошего админа можно найти. И он будет работать и работать хорошо. Это вполне адекватная цифра для нормального админа. Более того, многие за эти деньги (1.000-1.500 USD) работают удаленно на западные компании (лично знаю примеры с Percona, Scribd, Galt Networks) и з.п. выше 1500 они могут получить только в случае релокейшена (стало быть переезда на ПМЖ на запад). И дофига людей у них работает по удаленке. Кто-то релокейтится, а кому-то и так хорошо.
Да и не понимаю я каким образом Вы приплели качество хостинга к вакансии? То что там написано "администратор" - это еще не значит, что нужен "админ всея руси". Возможно, это вакансия администратора, сотрудника второй линии поддержки, который будет выполнять работу чуть сложнее чем отвечать на глупые вопросы и тыкать в FAQ, а зубры-нокеры 3-й линии может быть вообще совмещают в одном лице еще и учредителей. Вам ведь это доподлинно не известно?
Вы понятия не имеете кто им нужен, но беретесь рассуждать о качестве хостинга. Спрашиваете: "А возможно ли... при такой вакансии?" Вам совершенно резонно отвечают: "Возможно". Но Вы, почему-то, впрягаетесь доказывать обратное, базируясь исключительно на собственных догадках и стереотипах. Нехорошо так делать. Зачем Вам это? Регру обгадить? Показать "как правильно"? Чего Вы добиваетесь?
Есть два варианта стать лучше (быстрее, сильнее) соседа. Первый: подняться свой уровень выше относительно него. Второй: опустить его уровнем ниже относительно своего.
Большинство выбирают второй вариант: обгадить, обкакать кого-то проще всего. Куда сложнее взять себя за жопу, вложить много труда, сил, времени и средств и сделать лучше чем у соседа.
Вы задали вопрос с целью узнать общественное мнение. Вы его узнали. К чему теперь оспаривать его? Если Вы считаете что у кого-то что-то неправильно - сделайте лучше.
P.S. Почему у меня ощущение, что это не раздел форума где общаются люди с общими интересами, а какой-то серпентарий где соседка-гадюка норовит укусить побольнее?
УСЛОВИЯ РАБОТЫ:
Постоянная работа в офисе или удаленно с 10:00 до 19:00 по московскому времени.
ЗАРАБОТНАЯ ПЛАТА:
от 35000 руб. (в зависимости от квалификации и режима работы)
Если я правильно понимаю, то з.п. получается от 1000 USD. На периферии запросто можно хорошего админа за эти деньги. Да еще и на удаленку.
broken: Пропала вдруг вечная лицензия, купленная через mсhost еще в бородатом 2008 году.
техподдержка как всегда молчит :)
посмотрел по форумам - пару случаев еще за последнию неделю нашел. насколько массовое явление интересно - есть еще кто остался без лицензии вдруг? и чего делать :)
Проверяли, результат? Больше не пускать команды запрета на свитчах :), учитывая что роутерная база такая же, на них тоже не стоит.
У меня работает. Что я делаю не так?
deltahost.com.ua Вы хоть раз на этих дикообразах фильтровать пытались? У Вас CPU на них вырастет до +100 и через пять сек он ляжет, я говорю о простых правилах на фильтрацию UDP, а не на TCP syn.
Forwarding Rate != filter rate.
Да, нормально UDP фильтруется. Проверьте перед тем как домыслы строить :)
deltahost.com.ua, я не буду с Вами спорить.
Но скажу одно, 1mpps http флуда фильтруется на ура, а вот когда валит syn флуд + спуфинг я бы не делал таких заявлений насчет выдержит или не выдержит роутер.
И насчет того что дошел ли траф до жертвы или нет тут спорный вопрос, вы его видели на сервере? лично я нет.
Вы глухонемой штоле? Или читали по диагонали? В заголовке темы написано "где фильтровать синфлуд?!". При чем тут HTTP флуд? С какого перепугу Вы его сюда приплели?
Теперь касательно роутеров.
1MPPS не переварит только SOHO роутер.
Вот Вам спеки самых простеньких каталистов, учите матчасть:
3560:
• 32 Gbps forwarding bandwidth
• Forwarding rate based on 64-byte packets:
• 38.7 Mpps (Cisco Catalyst 3560G-48TS, Catalyst 3560G-48PS, Catalyst 3560G-24TS, and Catalyst 3560G-24PS);
• 13.1 Mpps (Cisco Catalyst 3560-48TS and Catalyst 3560-48PS);
• 6.5 Mpps (Cisco Catalyst 3560-24TS and Catalyst 3560-24PS);
• 3.2 Mpps (Cisco Catalyst 3560-12PC)
• 2.7 Mpps (Cisco Catalyst 3560-8PC)
3750 & 3750-G
• 32-Gbps switching fabric
• Stack-forwarding rate of 38.7 mpps for 64-byte packets
• Forwarding rate: 6.5 mpps (Cisco Catalyst 3750-24TS, 3750-24FS, and 3750-24PS), 13.1 mpps (Cisco Catalyst 3750-48TS and 3750-48PS), 17.8 mpps (Cisco Catalyst 3750G-12S), 35.7 mpps (Cisco Catalyst 3750G-24T), 38.7 mpps (Cisco Catalyst 3750G-24TS and 3750G-24WS), 35.7 mpps (Cisco Catalyst 3750G-16TD), 38.7 mpps (Cisco Catalyst 3750G-24TS-1U), 38.7 mpps (Cisco Catalyst 3750G-24PS), 38.7 mpps (Cisco Catalyst 3750G-48TS), 38.7 mpps (Cisco Catalyst 3750G-48PS)
А если заглянуть в спеки хотя бы 720 супервизора, то в легкую можно увидеть:
Up to 450 Mpps
http://www.cisco.com/en/US/prod/collateral/switches/ps5718/ps708/product_data_sheet09186a0080159856.pdf
не поверите....))))
да, да, самая мерзкая, та самая, которую не любят почти все хостеры, самая злобная в плане нечестной конкуренции, самая-самая л2
Она вроде по UDP работает? Если да, то попросите ДЦ порезать TCP на Ваш адрес (разрешить только с нескольких айпи для удаленного подключения и т.д.).
---------- Добавлено в 16:36 ---------- Предыдущее сообщение было в 16:35 ----------
У меня очень большой опыт по защите от атак той самой игры
Обращайтесь погляжу, что можно сделать
Но как показывает практика - залог успеха правильный хостер
А расскажите нам, что Вы собираетесь делать с 1MPPS трафика? :)
---------- Добавлено в 16:42 ---------- Предыдущее сообщение было в 16:36 ----------
Не обязательно. Нормально интеловская сетевушка 750 держит.
1000 не встречали, но 750-500 без проблем проходит с яндекс дровами под бсд.
500-750 - это цифра, на которой у Вас кол-во дропов уже мешало открытию страницы. До 500 Вы не замечали потому, что дропы не мешали открытию, но они были. И дропы начинаются где-то после 200K. Проверялось на 8 векторной интеловой сетевке с различными дровами, разницы в которых, кстати, никакой, если в карточке больше 1 вектора, т.к. "горлышком" в данном случае является реализация TCP стека в ядре: на каждый SYN будет отправлен SYN,ACK, а по прошествии 15 секундного таймаута еще и 3 ретрансмита. При дефолтных настройках вся эта катавасия с ретрансмитами займет 45 секунд на 1 SYN. А теперь посчитайте сколько SYN'ов Вам вольют дополнительно за эти 45 секунд. И даже если подрезать таймауты и поправить стек, до 1 ретрансимта и 1 секунды таймаута (с меньшими значениями отвалится много нормальных клиентов) - все равно кол-во соединений будет наростать лавинообразно.
Так что дропы, которые не заметны при серфинге - это не "держит". Тут у человека, как бы, риалтайм траффик.
---------- Добавлено в 16:46 ---------- Предыдущее сообщение было в 16:42 ----------
ИМХО. Сины надо отсекать на роутере.
Но вот 1mpps на не каждый роутер вытянет.
Ну да. DIR-400 не выдержит 😂
Если трафик до жертвы доходит - значит роутер вытягивает, не так ли? Любой L3 свич выдержит. Даже тупенькие 3комовские бейслайны пропускают толи 50, толи 100 MPPS. А цисковские гробы с супервизорами есть и по 400 MPPS и выше :)
Для начала попробуйте все таки софтовые решения, так как они просты и дешевы.
Вы отдаете себе отчет что делаете, когда советуете фильтровать поток 1MPPS софтовыми(!) решениями?
В общем то я не просто технический специалист
Сложно технический?
Ну тогда попробую на пальцах: за штуку баксов на периферии хорошего админа можно найти. И он будет работать и работать хорошо. Это вполне адекватная цифра для нормального админа. Более того, многие за эти деньги (1.000-1.500 USD) работают удаленно на западные компании (лично знаю примеры с Percona, Scribd, Galt Networks) и з.п. выше 1500 они могут получить только в случае релокейшена (стало быть переезда на ПМЖ на запад). И дофига людей у них работает по удаленке. Кто-то релокейтится, а кому-то и так хорошо.
Да и не понимаю я каким образом Вы приплели качество хостинга к вакансии? То что там написано "администратор" - это еще не значит, что нужен "админ всея руси". Возможно, это вакансия администратора, сотрудника второй линии поддержки, который будет выполнять работу чуть сложнее чем отвечать на глупые вопросы и тыкать в FAQ, а зубры-нокеры 3-й линии может быть вообще совмещают в одном лице еще и учредителей. Вам ведь это доподлинно не известно?
Вы понятия не имеете кто им нужен, но беретесь рассуждать о качестве хостинга. Спрашиваете: "А возможно ли... при такой вакансии?" Вам совершенно резонно отвечают: "Возможно". Но Вы, почему-то, впрягаетесь доказывать обратное, базируясь исключительно на собственных догадках и стереотипах. Нехорошо так делать. Зачем Вам это? Регру обгадить? Показать "как правильно"? Чего Вы добиваетесь?
Есть два варианта стать лучше (быстрее, сильнее) соседа. Первый: подняться свой уровень выше относительно него. Второй: опустить его уровнем ниже относительно своего.
Большинство выбирают второй вариант: обгадить, обкакать кого-то проще всего. Куда сложнее взять себя за жопу, вложить много труда, сил, времени и средств и сделать лучше чем у соседа.
Вы задали вопрос с целью узнать общественное мнение. Вы его узнали. К чему теперь оспаривать его? Если Вы считаете что у кого-то что-то неправильно - сделайте лучше.
P.S. Почему у меня ощущение, что это не раздел форума где общаются люди с общими интересами, а какой-то серпентарий где соседка-гадюка норовит укусить побольнее?
Тогда мне непонятны мотивации многих хостеров, которые и тут присутствуют и не хотят видеть работников иначе как в офисе.
А зачем техническому специалисту понимать то, что не касается круга его задач?
Так разве можно контролировать из Москвы работника в Челябинске?
Конечно. Можно.
УСЛОВИЯ РАБОТЫ:
Постоянная работа в офисе или удаленно с 10:00 до 19:00 по московскому времени.
ЗАРАБОТНАЯ ПЛАТА:
от 35000 руб. (в зависимости от квалификации и режима работы)
Если я правильно понимаю, то з.п. получается от 1000 USD. На периферии запросто можно хорошего админа за эти деньги. Да еще и на удаленку.
Пропала вдруг вечная лицензия, купленная через mсhost еще в бородатом 2008 году.
техподдержка как всегда молчит :)
посмотрел по форумам - пару случаев еще за последнию неделю нашел. насколько массовое явление интересно - есть еще кто остался без лицензии вдруг? и чего делать :)
Перетаскивайте лицензию к isplicense.ru
Давно работаем с ними, все гладко.