abudda: да, скорей всего вы правы, но дело в том что сервер не всегда имеет веб сервер...например сервер базы данных, ну и т.д. т.е. фактически нужно давать пользователю возможность выбирать...ping в том числе, заодно и время отклика и т.д., а если icmp отключен, то начинается конечно бред...
В большинстве случаев мертвый сервер удачно пингуется. Для эксперимента попробуйте создать нагрузку на сервер так, чтобы la был под 1000, сервер умрет но пинговаться будет.
abudda: да или просто icmp зарезан на роутере...или сильно лимитрован, вообще на сколько это важно для пользователя? и как мониторинговые срвисы, они по-пингу пониторят в том числе?
Пользователю без разницы ходят ICMP пакеты или не ходят. Мониторить по пингу большого смысла нет, сервер может уже быть дохлым, но успешно пинговаться. Мониторить логичнее HTTP запросом.
Himiko: Он не поможет от мощной атаки, т.к. апач будет все-равно плодиться, т.к. запросы будут до него доходить.
Все зависит от мощности атаки, ИМХО.
Полностью согласен, добавил бы только что эффективность этого модуля сильно падает с распределенностью атаки. Чем больше атакующих IP тем он менее эффективен
zahosti.ru добавил 03.12.2008 в 16:12
_Ad:
по поводу отбития атак за 15 минут с помощью фаервола - это несколько оптимистичное утверждение. Было бы все так просто, уже давно никто никого бы не ддосил.
А в чем вы видите проблему отбиться от флуда на апач, который не кладет 100Mb/s канал?
15 минут это не оптимистичное утверждение, а опыт. У человека специально уточнили живет сервер когда апач выключен, или нет. Если живет, то при наличие логов в которых уже есть инфа о вредных запросах основная их часть заносится в файрвол, а дальше скрипт выполняем по крону каждые 5-10 минут чтобы лочить новые атакующие IP. Проблему составляют ддосы кладующие канал или с ну очень большим ботнетом.
zzeus: ужас вообще. зачем что-то придумывать, когда давно существует mod_evasive?
Зачем нужно использовать mod_evasive, когда можно написать скрипт в 15 строк на shell и залочить, как тебе удобно, все на файрволе чтобы апач вообще не отвлекался на не нужные запросы к себе?
zahosti.ru добавил 03.12.2008 в 16:03
azazelka: 2zzeus
боюсь показаться неопытным но в вопросах администрирования я наверное как раз такой
что такое mod_evasive?
azazelka: сервер выделенный, но мысль с htaccess хорошая ... подскажите плиз код как забанить с помощью htaccess IP?
Если сервер выделенный то глупо это делать через htaccess, так как запрос все равно будет обрабатываться плюс лишь в скорости исполнения.
Order Allow,Deny
Allow from all
Deny from тут_IP
Deny from тут_IP
zahosti.ru добавил 03.12.2008 в 14:56
_Ad: у топикстартера правильная мысль была в самом начале - поискать устойчивый хостинг.. пересеть на уже настроенный для отражения атак сервер - это самое быстрое и надежное решение..
Вы действительно считаете что тратить деньги на сервер, когда атака элементарно отбивается минут за 15 с помощью установки файрвола и напиcания простенького скрипта это правильное решение?
Причем в его случае когда уже логи апача от атаки большие, может вообще хватить одного запуска скрипта.
azazelka: 2zahosti.ru
файрвол программный или апаратный? я в этом не особо силен но помоему хостер пробовал как раз добавлять атакующие IP в бан лист,результат давало но временный , похоже надо было добавлять регулярно а на это времени у них не хватало
Програмного более чем достаточно. Добавлять можно скриптом автоматически на основе изучения логов апача. Задача сильно упрощается если вредоносный запрос однотипный.
PING nic.ru (194.85.61.42): 56 data байт
--- nic.ru ping статистика ---
5 запросов переданно, 0 packets полученно, 100% запросов потерянно
источник: http://www.wservice.info/
http://private.dnsstuff.com/tools/tracert.ch?ip=nic.ru
У меня паника, мои сайты не работают.
Все прекрасно работает. Пинги никто не обещал пускать. На работе сайтов отсутствие пинга никак не сказывается.
да, скорей всего вы правы, но дело в том что сервер не всегда имеет веб сервер...например сервер базы данных, ну и т.д. т.е. фактически нужно давать пользователю возможность выбирать...ping в том числе, заодно и время отклика и т.д., а если icmp отключен, то начинается конечно бред...
В большинстве случаев мертвый сервер удачно пингуется. Для эксперимента попробуйте создать нагрузку на сервер так, чтобы la был под 1000, сервер умрет но пинговаться будет.
а меня 99% забавляют... это получается что 100 клиентов уже прошло?
ps. опять нас где-то дурят.
Вообще, как то оригинально предлагать Анти-ДДОС решения и предлагать абузоустойчивый хостинг.
да или просто icmp зарезан на роутере...или сильно лимитрован, вообще на сколько это важно для пользователя? и как мониторинговые срвисы, они по-пингу пониторят в том числе?
Пользователю без разницы ходят ICMP пакеты или не ходят. Мониторить по пингу большого смысла нет, сервер может уже быть дохлым, но успешно пинговаться. Мониторить логичнее HTTP запросом.
Он не поможет от мощной атаки, т.к. апач будет все-равно плодиться, т.к. запросы будут до него доходить.
Все зависит от мощности атаки, ИМХО.
Полностью согласен, добавил бы только что эффективность этого модуля сильно падает с распределенностью атаки. Чем больше атакующих IP тем он менее эффективен
zahosti.ru добавил 03.12.2008 в 16:12
по поводу отбития атак за 15 минут с помощью фаервола - это несколько оптимистичное утверждение. Было бы все так просто, уже давно никто никого бы не ддосил.
А в чем вы видите проблему отбиться от флуда на апач, который не кладет 100Mb/s канал?
15 минут это не оптимистичное утверждение, а опыт. У человека специально уточнили живет сервер когда апач выключен, или нет. Если живет, то при наличие логов в которых уже есть инфа о вредных запросах основная их часть заносится в файрвол, а дальше скрипт выполняем по крону каждые 5-10 минут чтобы лочить новые атакующие IP. Проблему составляют ддосы кладующие канал или с ну очень большим ботнетом.
ужас вообще. зачем что-то придумывать, когда давно существует mod_evasive?
Зачем нужно использовать mod_evasive, когда можно написать скрипт в 15 строк на shell и залочить, как тебе удобно, все на файрволе чтобы апач вообще не отвлекался на не нужные запросы к себе?
zahosti.ru добавил 03.12.2008 в 16:03
2zzeus
боюсь показаться неопытным но в вопросах администрирования я наверное как раз такой
что такое mod_evasive?
Как пример установки тут http://www.lissyara.su/?id=1602
сервер выделенный, но мысль с htaccess хорошая ... подскажите плиз код как забанить с помощью htaccess IP?
Если сервер выделенный то глупо это делать через htaccess, так как запрос все равно будет обрабатываться плюс лишь в скорости исполнения.
Order Allow,Deny
Allow from all
Deny from тут_IP
Deny from тут_IP
zahosti.ru добавил 03.12.2008 в 14:56
у топикстартера правильная мысль была в самом начале - поискать устойчивый хостинг.. пересеть на уже настроенный для отражения атак сервер - это самое быстрое и надежное решение..
Вы действительно считаете что тратить деньги на сервер, когда атака элементарно отбивается минут за 15 с помощью установки файрвола и напиcания простенького скрипта это правильное решение?
Причем в его случае когда уже логи апача от атаки большие, может вообще хватить одного запуска скрипта.
я так и предложил на что пришол ответ
Если у вас виртуальный хостинг то можно попробывать в htaccess их заносить.
Отдавать ошибку серверу гораздо легче чем исполнять скрипты.
вот часть лог файла как именно ддосили
Ну так и залочьте всех, кто чаще 20 раз хотел заглавную скажем в течение 10 минут.
Ваша проблема не требует специальных средств защиты от ДДОС и ухищрений. Файрвола более чем достаточно.
2zahosti.ru
файрвол программный или апаратный? я в этом не особо силен но помоему хостер пробовал как раз добавлять атакующие IP в бан лист,результат давало но временный , похоже надо было добавлять регулярно а на это времени у них не хватало
Програмного более чем достаточно. Добавлять можно скриптом автоматически на основе изучения логов апача. Задача сильно упрощается если вредоносный запрос однотипный.