MIRhosting.com: Никто бесплатно или за копейки фильтровать ддосы не будет.
Как хостерам за копейки защитить сайты от ддос атак (кроме L7):
1. Спрятать IPшники бэкендов, полностью, все только проксировать на них через фронтенды. Даже почту отправлять с них через прокси и в интернет пускать через прокси (можно прозрачный). И запретить любые IP пакеты к ним, кроме как от фронтендов и внутренней сети. Иначе могут посмотреть IPшники в письмах при регистрации, насканить в подсети и найти где сайт хостится и т.д.
2. Взять один или пару севреров в OVH и перенести туда минимум 1 NS и минимум 1 фронтенд. Если будут атаковать и NSы, то по крайней мере хоть один, который в OVH будет работать.
3. Поставить маленький TTL секунд 60 всем NS записям всех доменов.
4. Скриптом на фронтенде в OVH мониторить работу остальных фронтендов. Как только какой-то перестанет работать - менять все указывающие на него записи во всех NSах на фронтенд в OVH. Serial в SOA тоже инкрементить. А, допустим, через час, после того, как заработали - менять назад.
5. Профит.
Получается защита до 480 гигабит и 480 миллионов пакетов в секунду (на сайте OVH есть где-то).
Цена решения - один раз работы на неделю и баксов 100-200 в месяц за NS и резервный фронтенд (сомневаюсь, что кто-то будет одновременно два разных фронтенда ддосить).
С L7 чуть тяжелее, но это редкость, атаки дорогие и там трафика много быть не может в принципе, даже 1 гигабит для L7 это уже очень очень много.
---------- Post added 06-11-2013 at 02:56 ----------
Crash_: UserOfFirstDedic, с начала октября на вашем аккаунте было 7 предупреждений о том, что ваш сервер ДДОСят. И первые 6 вы проигнорировали. ДДОС идет по IP, вы просто покупаете новый IP и ждете, когда его начнут атаковать.
Радуйтесь, что IP всего лишь меняют, а не всего хостера, никто никогда не будет сидеть и ждать, пока ддос закончится, если хоть чуть-чуть в голове ума есть.
Гугл дал реальные статистические данные за 5 лет работы по 100000 дисков, а вы тыкаете циферкой с потолка, тот же MTBF только сбоку (AFR = 876000 / MTBF). Для 7200 дисков он, кстати, задекларирован 0.73% (= 1.2 млн часов MTBF), а в реальности, как видите, 8% на второй год.
Scumtron:
К тому же учитывая, что в RAID 10 - 4 устройства, а в RAID 1 всего два, то ровно в два раза увеличивается количество точек отказа, что напрямую влияет на отказоустойчивость. Все верно?
Нет. Наоборот. В raid 10 можно потерять 2 диска из 4-х, т.е. чтобы он загнулся надо потерять аж 3 диска одновременно. А шансы, что сдохнет сразу 3 диска на порядок ниже, чем, что сразу 2.
---------- Post added 03-11-2013 at 07:52 ----------
Scumtron:
Ни 6% а 8%, мы же про нагруженные диски говорим, да?
И вы считаете, что 8% в год - нормальное значение?
Нет не 8%, а 6% в среднем за 5 лет. Нагруженность дисков почти не влияет, там же об этом сказано.
Прогнозируемая расчетная величина, но не статистическая. На момент расчета диски еще не эксплуатировались, чтобы реальную статистическую величину откуда-то брать.
security-guru: не прожует. на про аккаунте за 20$ при школоддос в 200 запросов в секунду (http flood) через час трафик пошел напрямую.
они защиту от ддос только на бизнес аккаунте предоставляют, 200$/мес
sladkydze: Надо учитывать, что помимо самих блинов и электроники в дисках есть еще и подшипники. И на сколько мне известно, их ТТХ очень сильно отличаются. В частности, у того же WD есть серия RE4 для использования в Enterprise системах. Отличие от Black серии практически только в подшипниках, что увеличивает их ценник в 1.5 раза. По увеличению надежности цифр не приведу, лень искать, но я уверен, что в этом плане ценник RE4 оправдан.
Все, что дороже 1.3x уже не оправдано экономически. Ибо 1.3x получается цена обычного диска на 5 лет в самом худшем случае и без гарантий.
sladkydze:
Вообще, у дисков есть такой параметр, MTBF. И этот параметр на порядок разнится у десктопных (читай SATA) дисков, и у Энтерпрайз сегмента. Мы тут можем заявлять любые данный из гугла или своей практики, а еще есть официальные данные производителей, и я больше склонен верить им.
О, хорошо что про MTBF вспомнили, в обоих исследованиях, что я приводил выше MTBF оказалася очень далеким от реальности на практике и отличается на порядок. Первое даже предлагало убрать его из стандартов из-за этого.
UserOfFirstDedic: и надо быть ясновидящим чтобы догадаться что такая проблема возникнет.
Даже более того, у них на сайте указана защита от DDos, но только при подробном выяснении и подтверждении техподдержки выясняется что она только для http
Да с защитой от ддоса вообще все не чисто, половина даже не рассказывает, от какого ддоса умеет защищать (видимо и клиентов хотят и надеятся что атак не будет), а если настойчиво поспрашивать, то выяснится, что только от атак пару летней давности - до 10Г и то за много денег. А современные атаки больше 10Г только в nullroute. По сравнению с решением от OVH на 480Г конечно смотрится очень смешно. Клаудфлейр на бесплатном аккаунте тоже порядка 300Г-400Г прожует, но сами понимаете у них только для сайтов. Гугловский новый сервис скоро тоже будет нашару давать защиту, но тоже только для сайтов, как клаудфлейр.
В защите от ддоса вообще особого выбора быть не может, слишком дорого такую инфраструктуру строить, единицы на планете могут потянуть.
Никто бесплатно или за копейки фильтровать ддосы не будет.
Как хостерам за копейки защитить сайты от ддос атак (кроме L7):
1. Спрятать IPшники бэкендов, полностью, все только проксировать на них через фронтенды. Даже почту отправлять с них через прокси и в интернет пускать через прокси (можно прозрачный). И запретить любые IP пакеты к ним, кроме как от фронтендов и внутренней сети. Иначе могут посмотреть IPшники в письмах при регистрации, насканить в подсети и найти где сайт хостится и т.д.
2. Взять один или пару севреров в OVH и перенести туда минимум 1 NS и минимум 1 фронтенд. Если будут атаковать и NSы, то по крайней мере хоть один, который в OVH будет работать.
3. Поставить маленький TTL секунд 60 всем NS записям всех доменов.
4. Скриптом на фронтенде в OVH мониторить работу остальных фронтендов. Как только какой-то перестанет работать - менять все указывающие на него записи во всех NSах на фронтенд в OVH. Serial в SOA тоже инкрементить. А, допустим, через час, после того, как заработали - менять назад.
5. Профит.
Получается защита до 480 гигабит и 480 миллионов пакетов в секунду (на сайте OVH есть где-то).
Цена решения - один раз работы на неделю и баксов 100-200 в месяц за NS и резервный фронтенд (сомневаюсь, что кто-то будет одновременно два разных фронтенда ддосить).
С L7 чуть тяжелее, но это редкость, атаки дорогие и там трафика много быть не может в принципе, даже 1 гигабит для L7 это уже очень очень много.
---------- Post added 06-11-2013 at 02:56 ----------
UserOfFirstDedic, с начала октября на вашем аккаунте было 7 предупреждений о том, что ваш сервер ДДОСят. И первые 6 вы проигнорировали. ДДОС идет по IP, вы просто покупаете новый IP и ждете, когда его начнут атаковать.
для сравнения, у SAS 15K он около 0.5%.
Гугл дал реальные статистические данные за 5 лет работы по 100000 дисков, а вы тыкаете циферкой с потолка, тот же MTBF только сбоку (AFR = 876000 / MTBF). Для 7200 дисков он, кстати, задекларирован 0.73% (= 1.2 млн часов MTBF), а в реальности, как видите, 8% на второй год.
К тому же учитывая, что в RAID 10 - 4 устройства, а в RAID 1 всего два, то ровно в два раза увеличивается количество точек отказа, что напрямую влияет на отказоустойчивость. Все верно?
Нет. Наоборот. В raid 10 можно потерять 2 диска из 4-х, т.е. чтобы он загнулся надо потерять аж 3 диска одновременно. А шансы, что сдохнет сразу 3 диска на порядок ниже, чем, что сразу 2.
---------- Post added 03-11-2013 at 07:52 ----------
Ни 6% а 8%, мы же про нагруженные диски говорим, да?
И вы считаете, что 8% в год - нормальное значение?
я писал как бы "братьям" по деятельности - хотел бы хостеру, написал бы в ТП, но не в этом суть была )
Оно того не стоит. По себе знаю. Лучше пишите о тех, кто понравился :)
Это доказывает что и не будет пытаться жевать, что не понятного)))
Ниче не понятно, это когда было? Они сами недавно рассказывали, что прожует, слайды нарыл:
http://www.secure.edu.pl/pdf/2013/D1_1530_A_Graham-Cumming.pdf
Так это ж не по одному каналу, а аникастом через два десятка PoP'ов. (на них же и фильтруется)
MTBF - величина статистическая.
Прогнозируемая расчетная величина, но не статистическая. На момент расчета диски еще не эксплуатировались, чтобы реальную статистическую величину откуда-то брать.
не прожует. на про аккаунте за 20$ при школоддос в 200 запросов в секунду (http flood) через час трафик пошел напрямую.
они защиту от ддос только на бизнес аккаунте предоставляют, 200$/мес
Каким образом это доказывает, что не прожует?
Надо учитывать, что помимо самих блинов и электроники в дисках есть еще и подшипники. И на сколько мне известно, их ТТХ очень сильно отличаются. В частности, у того же WD есть серия RE4 для использования в Enterprise системах. Отличие от Black серии практически только в подшипниках, что увеличивает их ценник в 1.5 раза. По увеличению надежности цифр не приведу, лень искать, но я уверен, что в этом плане ценник RE4 оправдан.
Все, что дороже 1.3x уже не оправдано экономически. Ибо 1.3x получается цена обычного диска на 5 лет в самом худшем случае и без гарантий.
Вообще, у дисков есть такой параметр, MTBF. И этот параметр на порядок разнится у десктопных (читай SATA) дисков, и у Энтерпрайз сегмента. Мы тут можем заявлять любые данный из гугла или своей практики, а еще есть официальные данные производителей, и я больше склонен верить им.
О, хорошо что про MTBF вспомнили, в обоих исследованиях, что я приводил выше MTBF оказалася очень далеким от реальности на практике и отличается на порядок. Первое даже предлагало убрать его из стандартов из-за этого.
Опять гугл. А своей практики нет? Тогда о чем спор?
В среднем из сотни машин в месяц как минимум на одной вылетает один из дисков.
6% в год = 0.5% в месяц
Это и есть 1% машин с двумя дисками. 1 из 100. Так что не вранье, а как обычно - не посчитали.
и надо быть ясновидящим чтобы догадаться что такая проблема возникнет.
Даже более того, у них на сайте указана защита от DDos, но только при подробном выяснении и подтверждении техподдержки выясняется что она только для http
Да с защитой от ддоса вообще все не чисто, половина даже не рассказывает, от какого ддоса умеет защищать (видимо и клиентов хотят и надеятся что атак не будет), а если настойчиво поспрашивать, то выяснится, что только от атак пару летней давности - до 10Г и то за много денег. А современные атаки больше 10Г только в nullroute. По сравнению с решением от OVH на 480Г конечно смотрится очень смешно. Клаудфлейр на бесплатном аккаунте тоже порядка 300Г-400Г прожует, но сами понимаете у них только для сайтов. Гугловский новый сервис скоро тоже будет нашару давать защиту, но тоже только для сайтов, как клаудфлейр.
В защите от ддоса вообще особого выбора быть не может, слишком дорого такую инфраструктуру строить, единицы на планете могут потянуть.