Forum Debian Users Gang

zlyZwierz napisał(-a):

Ma ;)
Paw. Je.

Data rejestracji:
    Marzec 18, 2014, 10:32:07
Czas lokalny:
    Marzec 01, 2016, 23:34:31
Ostatnio aktywny:
    Kwiecień 29, 2015, 20:23:31

Wątek: Wykrywanie DDOSow na MT  (Przeczytany 1212 razy)

hmm, czyśbyśmy się znali gdzieś prywatnie?

zlyZwierz napisał(-a):

Yh, może nie piłem z Tobą wódki, ale potrafię połączyć kropki, tym bardziej, że pisujemy/czytujemy listę LMS, a jako moderator działu sieci wiem z jakiego IP piszesz ;)

:) nie no może na jakimś kike albo coś :) może by się przydało

zlyZwierz napisał(-a):

Hmm... najbliższa okazja, żeby się upodlić to https://www.facebook.com/events/1133835183315544/ ;)

Nie wiem czy na Inet pojedziemy :/ na 100% na Kike też jakoś kwiecień, nie wiem dokładnie bo przez atak na adweb kikeevents nie działa :/

też chyba Cię kojarzę z listy lms P.K. jak mi się kojarzy. ale dość prywaty, hehe

zlyZwierz napisał(-a):

;)

Wracając do tematu:
Takie wartości ruchu są spokojnie do ogarnięcia na linuxie:


http://imgur.com/a/BsAii

model name    : Intel(R) Xeon(R) CPU E5-1620 v2 @ 3.70GHz
02:00.0 Ethernet controller: Intel Corporation 82599EB 10-Gigabit SFI/SFP+ Network Connection (rev 01)


Kolejek brak, tylko NAT i FIREWALL+BGP+OSPF
Kolejki na rozproszonych koncentratorach.

ja na 100% pewien nie jestem, że to linuch. fakt, jak podczas ataku odpaliłem ntopa to już nie dało się z niego za bardzo korzystać.
jest też prawdopodobne, że degradacja przychodziła właśnie od operatora, który to robi policy na swoich interfejsach a przy ataku tak nam się to objawiało. poza tym, sieciówki są 1Gb też ograniczone pps.
fakt faktem, że Cisco i tej klasy routery są skonstruowane do routingu i do niczego więcej. łatwiej na nim odpoalić NetFlow czy chociażby mirror portu a na linuxie już sobie to obrabiać itd. w tej chwili przesiadka jak dla mnie nie ma znaczenia bo uczyłem się na cisco, grzebałem w quagga i wracam do cisco jako brzegówka.
Tu też nie chodzi, że linux powinien sobie poradzić itd. generalnie po woli chcemy dążyć do takiego stopnia by "uruchomić i zapomnieć", może nie do końca zapomnieć ale w każdym bądź razie spać spokojnie i nie myśląc o tym czy się coś wykrzaczy czy nie.

Ostatnio edytowany przez Nicram (2016-03-01 23:59:46)

zlyZwierz napisał(-a):

Z podobną intencją leży mi na biurku Redback SE600 ;)
Tylko jakoś veny brak :)

:)

generalnie też moglibyśmy zakupić sieciówki 10G jakieś lepsze 1G itd. aczkolwiek kwota którą by się wydało była by nie wiele mniejsza niż zakup Cisco na ebay. Fakt, trzeba dokupić wkładki itd. nie mniej jednak patrząc w przyszłość wydaje się to być lepszą inwestycją niż ciągłą wymiana hardware dla linuxa itd.

Ostatnio edytowany przez Nicram (2016-03-02 00:09:37)

zlyZwierz napisał(-a):

Nie wiem - U nas koszt SE600 przewyższa wartość pozostałego sprzętu w serwerowni, a póki co leży na półce, a linuxy robią brudną robotę.

Jak już go wdrożymy, to pewnie wypadnie kilka maszyn ale jedyny zysk widzę tutaj w braku potrzeby pilnowania go :)

Z ciekawości - co za ciskacza kupujecie ?

zysk nie tylko taki, że śpisz spokojnie ale i jeszcze energia. Co prawda pożera to trochę prądu ale i tak sporo mniej niż 4-5 innych serwerów

Z tym cisco 512k to stara bajka, stare routery z małą ilością pamięci miały ten problem.

jedno i drugie rozwiązanie ma swoje zady i walety.

Jacekalex napisał(-a):

Dla mnie sprzęt z powszechnie dostępnych rzeczy ma tą przewagę, że jest jak plastelina, można go zawsze dostosować do wymagań stosunkowo niewielkim kosztem, nie wspominając o łatwości, z jaką można wymieniać w nim systemy operacyjne w przypadku jakichś kłopotów.

W którym routerze CISCO możesz mieć FreeBSD, OpenBSD i dwa różne Linuxy,
i bootować wybierając OS w grubie?

Akurat taka dyskusja jest dyskusją o wyższości  świąt bożego narodzenia nad świętami wielkanocy :)
Gdyby tak było kolorowo jak piszesz, to po co taki polkomtel czy inny duży operator wydawałby miliony na taki sprzęt zamiast zainwestować w hardware i kilka linuxów/unixów na tym?

Jacekalex napisał(-a):

Po co wybór OS?

Żeby łatwo wybrnąć z takich "kfiatków":

https://www.nanog.org/mailinglist/mailarchives/old_ … msg00736.html
https://kb.juniper.net/InfoCenter/index?page=conten … amp;actp=LIST

Pozdro

Pierwszy przypadek sprzed 12 lat, drugi całkiem świeży. osobiście nie znam junipera więc nie wypowiem się na ten temat.

Jacekalex napisał(-a):

To już zależy od skali.

Duży operator, który ma np 50Gbit transferu na jednym routerze, musi ładować się w specjalne dedykowane urządzenia (innego wyjścia po prostu nie ma),
ale ma też kasę na sprzęt i serwis

Jeśli natomiast masz maks 1-4Gbity/s to masz spory wybór, bo sam możesz poskładać sprzęt, który to uciągnie, nie ma z tym problemu.

Pozdro

Co prawda to prawda, więc sam przyznajesz, że Cisco jest do tego dedykowanym sprzętem :)

Mój obecny sprzęt niestety zdycha. niby ten serwerek nie jest taki najgorszy. dziś boss u obu operatorów zwiększył porty bez cięcia czyli 2x po 1G z myślą, że jak przyjdzie DDoS to się to rozłołży. no i obróciło się to przeciw nam. o 19 mieliśmy DDoSa i jak serwerek dostał tyle ruchu to już nawet na niego zalogować się nie mogłem, musiałem udać się do serwerowni by puknąć go wyłącznikiem. wstał ładnie szybko i jak się sesja bgp zestawiała ruch nadal i serwer wisi :/
jaki wolumen był nie wiem, bo cacti już nie czytało :/ akurat te sieciówki z operatorami powinny to wytrzymać, są 1G ze zwiększoną ilością pakietów, niestety obróciło się to przeciw nam.
normalnego ruchu to by i z 10x po 1G przerzucił ale na DDoSie się wyłożył.

Jacekalex napisał(-a):

Efekt skali.

Do takiego serwera od razu bym kupił karty 10G, a sprzet dedykowany jest tam, gdzie karty 10G nie dadzą rady
Tylko tyle, i aż tyle.

Tu jest ograniczenie.

Czyli do granicy wyznaczonej wydajnścią karty 10G lepszy jest serwer, gdzie masz wybór OS, powyżej jedyną opcją jest sprzęt dedykowany, jak Cisco czy Juniper.

Zdaje mi się, że tutaj się zgadzamy? Prawda?

Tu muszę się z Tobą zgodzić, dobry hardware, dobre sieciówki i tak, masz rację wyda. Z tym, że zauważ że dobre sieciówki 10G nie kosztują mało :/

Nicram napisał(-a):

Z tym, że zauważ że dobre sieciówki 10G nie kosztują mało :/

A router Cisco to za czapkę śliwek sprzedają?

Ja w robocie kiedyś dawno widziałem takie cudo na chyba (podobno, faktury nie widziałem) wile tysi, które po burzy nadawało się na złom, bo kochany ISP
o piorunochronach chyba nie słyszał, a to jeszcze szło po kablu.

Na nowego grata nie było, i stanęło na normalnym kompie z profesjonalnym systemem ...... Ubuntu, i kartami Intel 1Gbit.
I nawet następne dwa latka starczało, aż do wymiany na światłowodę.

Także do dedykowanego sprzętu w miejscach, gdzie takowy nie jest niezbędnie konieczny i niezastępowalny, mam nadzwyczajnie duży dystans. XD

@zlyZwierz

Określenia "efekt skali" użyłem do porównania "wielkiej firmy z  wielką rurą 1Gbit" z takim malutkim mikro-operatorem jak np Polkomtel. XD

Podejrzewam, że gdybym sprawdził np w Netii, to tam też sieciówki 10G by były za małe. :D

Pozdro
;-)

Ostatnio edytowany przez Jacekalex (2016-03-03 17:51:21)

zlyZwierz napisał(-a):

A'propos DDoS - http://imgur.com/a/xNsBp
Wczorajszy ddos, fucks given - zero.
;)

to tobie zebrało 3G, jak ja dowiedziałem się od operatorów to to szło do nas po 20G, czyli do serwka dochodziło 40G przy ok 2Mpps i to zabiło serwerek

Jacekalex napisał(-a):

to tobie zebrało 3G, jak ja dowiedziałem się od operatorów to to szło do nas po 20G, czyli do serwka dochodziło 40G przy ok 2Mpps i to zabiło serwerek

A ci operatorzy nie mają jakichś procedur bezpieczeństwa?

Nawet taka serwerownia jak OVH mogła się zabrać poważnie za ryzyko DDOS,
to wielcy operatorzy też łaski nie robią.

Jeden z nich wspiera blackhole ale jak się tłumaczy "nie ingerują w ruch klienta", drugi ma DDoS ale każe sobie za niego słono płacić, nawet za "podstawową ochronę". Przez dwa lata "takiej ochrony" możesz kupić takiego używanego gsra i samemu sobie zrobić mechanizm blackhole.