Одна база, два интерфейса

А толку-то? Вопрос в том что конкретно ддосят и каким образом: забивают канал (флуды, подделка отправителя) или забивают ресурсы (используют жирные запросы к базе, забивают локальный диск логами). Ну спрячешь ты базу фиг знает куда, а двиг сайта все равно будет в нее лезть кривыми запросами :)

Nam3D, не, там пока не авторизуешься к базе ведь запрос не сделаешь. А 3 кривых авторизации и бан IP на 15 мин. Хотя если будут долбиться с разных IP тож возможно что повесят.

Ну как тогда сделать? Говорить адрес CMS "только своим" не получится, всех работников не проверишь их на сегодня больше 60, дальше будет больше.

Немного конкретики: речь идёт о базе заказов компании которая предоставляет услуги в Москве, а так как возможны утечки через работников, возможны бяки от конкурентов с последующим DDos чтобы парализовать деятельность.

Давать доступ к сервису через VPN если это только "для своих".

Nam3D, при беглом поиске нашлось вот это:

Это видимо пишется какой-то дополнительный интерфейс и через него уже распределяется доступ? Я просто далёк от всех этих примочек.

http://ru.wikipedia.org/wiki/VPN

Проще говоря: делаете свой сервис внутри сети, а доступ к нему даете только через VPN по авторизации логин\пароль + там клиентам назначается индивидуальный внутренний адрес, что позволит легко найти того кто бедакурит и выпилить.

Nam3D, я с вики как раз и взял цитату. ;)

По поводу вычислить. Ведётся учёт кто когда вошёл и с какого IP, мало того, фиксируются все кривые попытки входа и о неправильном вводе пароля сразу летит письмо на почту и как я уже писал выше - 3 раза и автоматом блокируется вход с IP на 15 мин.

Я всё таки немного про другое. CMS сейчас одна и лежит в папке сайта, если его начнут DDos'ить то ппц, всё ляжет. Вынести базу на отдельный домен тож не спасёт, URL придётся отдать всем, кто заходит в базу внести или забрать заказ. А вот если будет доступ с нескольких доменов, DDos'ить значительно сложней, база то у нас вообще в другом месте, причём можно иметь один секретный, которые узнают только в нужное время и только ограниченный круг, чьё присутствие в базе крайне необходимо.

Фома, глупость вы какую-то придумали :) Зачем выставлять голую попу сервис в открытый мир, когда сам сервис нужен ограниченному числу людей? Хотите развлекаться с ддосами - ваше право, но я бы сделал как я написал и особо не переживал бы насчет ддосов.

Суньте просто в CloudFlare а доступ в аккаунт там никому не предоставляйте. Айпи домена публично светиться не будет (CloudFlare проксирует трафик). До кучи мыльник можно вынести на отдельную виртуалку и устроить на ней SMTP Relay (тот же прокси, только для почты уже). Можно, конечно и мускуль проксировать, но зачем это вам. Вы же не даете доступ к мускулю извне я надеюсь...

Я понял так, что мне сначала нужно изучить все термины, а потом уже читать тему. :)

VPN - это хороший вариант.

Смысл в том, что напрямую на сайт зайти нельзя. Можно лишь через ваш промежуточный сервер (к примеру, тот же сервер, где и CMS)

Ваши работники получают доступ к VPN, а уже потом к сайту.

Если работник увольняется, то пользователь отключается и доступа у него нет.

Усложняется ДДОС тем, что нужна авторизация по личному ключу.

И каждому ДДОС-боту не передать ключ для доступа к VPN, даже если работник "не чист"