Борьбя с DDOS на VPS

iptables порты закрыть

😂

тс,

не занимайтесь ерундой

Den73, да ладно, в основном когда сайт на 5 баксовом вдс - так и ддос бывает 5 баксовый и вполне справиться можно внутренними средствами.

Я вот недавно держал http флуд на kvm vds 512 ram 1 core (у DigitalOcean), примерно лям запросов за 12 часов, в iptables (даже без ipset) отправил почти 2к /24 подсетей, и норм, ничего не падало, расход проца только стал на уровне 70-90% , после того как основная масса ботнета перебанилась - вдс нормально справлялся со своей задачей по проксированию трафа.

Может, подскажете что-нибудь?

grisha2217,

Советую установить mod_geoip для апача и банить целые страны. К примеру, Китай, Малайзия, Узбекистан, Таджикистан и им подобные. Таким макаром вы отсекаете "публику", которая заведомо не будет смотреть ваш сайт. Атаки, лично у меня, наиболее часто идут из Китая. И iptables проще, не нужно кучу айпишников банить, достаточно заблокировать страну. После блокировки, все личности, которые будут пытаться заходить на сайт из заблокированной страны или из-под прокси, который относится к заблокированной стране, будут отлетать по 403 ошибке, а в логах будет:

P.S. Только США не баньте, там гугл :)

mark2011, geoip лучше ставить к nginx и банить:

CN no;

TW no;

PK no;

HK no;

SA no;

BR no;

IN no;

FR no;

NL no;

DE no;

SE no;

Это основное, что не нужно для рунета. FR DE NL в этом списке, потому что с хенцзеров, лизвебов и прочих овх идет столько вредоносного, что они в некоторых случаях хуже китая будут.

foxi

я летом заказывал на себя для теста по 10-20 баксов, они делают до 100к RPS на layer 7, канальный флуд > 1гбит за эти деньги.

тоесть блокировка впс обеспечена.

mark2011

не нужно это делать, во первых не поможет а во вторых только навредите.

резать страны - плохой тон, вы еще капчу предложите))

Den73, ну против забивания входящего канала конечно уже ничего не сделаешь.

на openVZ будет плохо всей ноде (если администратор ноды не менял настройки сетевого стека) даже от атаки по layer7 (много трафика не нужно).

Den73, в смысле "не поможет"? И почему это плохой тон? если я из Китая никого на сайте не хочу видеть :) или из Таиланда ))

---------- Добавлено 21.12.2013 в 19:17 ----------

не предложу, ибо уже дохрена софта написано, который распознает капчу без участия человека )))