Еще один способ отбиться от небольшого DDOS

Все нижеописанное относится к GNU/Linux 2.6.x. ДДОС совершенно тупой, разномастный: syn/tcp/udp/icmp flood тупо на все открытые порты, мегабит на 60. UDP срали вообще куда попало. Но основная атака конечно на HTTP. По этому, тушим сервисы и пишем….

Немного sysctl…

vm.min_free_kbytes=70000

net.core.somaxconn=65536

net.ipv4.tcp_tw_reuse=1

net.ipv4.tcp_tw_recycle=1

net.ipv4.ip_local_port_range = 2000 61000

net.ipv4.tcp_fin_timeout = 25

net.ipv4.tcp_keepalive_time = 600

net.ipv4.tcp_window_scaling = 0

net.ipv4.tcp_timestamps = 0

net.core.rmem_max=16777216

net.core.wmem_max=32777216

net.ipv4.tcp_no_metrics_save=0

net.ipv4.tcp_rmem = 4096 87380 16777216

net.ipv4.tcp_wmem = 4096 187380 32777216

net.core.netdev_max_backlog=16384

net.ipv4.tcp_max_syn_backlog=4096

net.ipv4.ip_conntrack_max=600000

net.ipv4.icmp_echo_ignore_all=1

net.ipv4.netfilter.ip_conntrack_max=500000

net.netfilter.nf_conntrack_max=500000

Не забываем перезапустить Network.

Немного iptables….

# Форвард нам нэ нада

iptables -P FORWARD DROP

# BAN – цепочка для помещения туда айпи хостов, ведущих себя не правильно ) Ну типа
# iptables – I BAN -s 123.123.123.123 -j DROP

iptables -N BAN

# TRUSTED – цепочка для помещения туда правильных хостов и хостов откуда мы сидим в шелле. Типа
# iptables -I TRUSTED -s 111.111.111.111 -j ACCEPT

iptables -N TRUSTED

# Стандартный заголовок, eth1 – наш интерфейс внешний

# если есть еще интерфейсы, надо их тоже запрячь правилами разрешения как у lo

iptables -A INPUT -i lo -j ACCEPT

iptables -A INPUT -i eth1 -m state –state ESTABLISHED -j ACCEPT

iptables -A INPUT -i eth1 -m state –state RELATED -j ACCEPT

# Проход по белым и черным цепочкам

iptables -A INPUT -i eth1 -j TRUSTED

iptables -A INPUT -i eth1 -j BAN

# У меня висит только сервис http, по этому здесь такая себе мини защита по данному порту

# Насчет –seconds 10 –hitcount 10, курим маны, экспериментируем, ставим то, что подойдет.

# Режем всех TCP на порту 80, которые за последние 10 секунд сделали 10 попыток открыть соединение

# (кому то может не подойти!)

iptables -A INPUT -p tcp -m tcp –dport 80 -m state –state NEW -m recent –update –seconds 10 –hitcount 10 –name httpd –rsource -j DROP

# А остальных разрешаем

iptables -A INPUT -i eth1 -p tcp -m tcp –dport 80 -j ACCEPT

# Вот по этой теме ддосеры тоже затрахали, по этому был категоричен

iptables -A OUTPUT -p udp -j DROP

iptables -A OUTPUT -p icmp -j DROP

# Здесь добавить разрешения на прочие порты, у меня прочих не было

# …

# Здесь добавить (!!!) свои айпи, с которых сидишь в шелле

iptables -A TRUSTED -s 111.111.111.111 -j ACCEPT

# Хорошо подумаем, покурим, затаим дыхание и напишем….

iptables -P INPUT DROP

# Что означает зарезать все, что не разрешили на INPUT’е

А теперь запускаем nginx/httpd и прочую лабуду. Надеюсь заработает. У меня заработало, как будто ничего и не происходило  

 

Оригинал: http://www.pentarh.com/wp/2010/08/11/%d0%95%d1%89%d0%b5-%d0%be%d0%b4%d0%b8%d0%bd-%d1%81%d0%bf%d0%be%d1%81%d0%be%d0%b1-%d0%be%d1%82%d0%b1%d0%b8%d1%82%d1%8c%d1%81%d1%8f-%d0%be%d1%82-%d0%bd%d0%b5%d0%b1%d0%be%d0%bb%d1%8c%d1%88%d0%be%d0%b3/