защита от ddos

[BasilKiselev]

Подскажите пож, сейчас подняли апач2 все работает все норм, я слышал существуют какие то варианты защиты от ддоса, молуди или что то типо того, но нечего конкретного не слышал, подскажите пож как защититься что бы не прерывать в случае чего доступ клиентов к веб сервисам...

[BasilKiselev]

очень жду помощи(

[halturin]

В явном виде защиты от DDOS'а нет, разве что вытащить сетевой шнурок из сетевухи. Иногда как временным решением применяют увод "в сторону" средствами DNS, например резолв по домену отдает адрес лупбека. если атака идет по ИП, то переезжают временно на другой адрес. Обычно исходят из типа ДДОСа. Панацеи нет от этой "болезни".

[BasilKiselev]

ну а как же скриптинг? например если досят хттп, блочить ип атакующих...илине поможет?

[gcc]

1.

Код: Выделить всё

add allow tcp from any to 1.2.3.4 80 limit src-addr 10
add allow tcp from any to 1.2.3.4 80 via rl0 setup limit src-addr 10

ограничивает до 10 конектов

2. mod_dosevasive is an evasive maneuvers module for Apache to provide evasive
action in the event of an HTTP DoS or DDoS attack or brute force attack.
It is also designed to be a detection and network management tool, and can be
easily configured to talk to ipchains, firewalls, routers, and etcetera.
mod_dosevasive presently reports abuses via email and syslog facilities.

Detection is performed by creating an internal dynamic hash table of IP
Addresses and URIs, and denying any single IP address from any of the
following:

* Requesting the same page more than a few times per second
* Making more than 50 concurrent requests on the same child per second
* Making any requests while temporarily blacklisted (on a blocking list)

This method has worked well in both single-server script attacks as well as
distributed attacks, but just like other evasive tools, is only as useful to
the point of bandwidth and processor consumption (e.g. the amount of bandwidth
and processor required to receive/process/respond to invalid requests), which
is why it's a good idea to integrate this with your firewalls and routers for
maximum protection.

This module instantiates for each listener individually, and therefore has a
built-in cleanup mechanism and scaling capabilities. Because of this per-child
design, legitimate requests are never compromised (even from proxies and NAT
addresses) but only scripted attacks. Even a user repeatedly clicking on
'reload' should not be affected unless they do it maliciously. mod_dosevasive
is fully tweakable through the Apache configuration file, easy to incorporate
into your web server, and easy to use.

WWW: http://www.nuclearelephant.com/projects/dosevasive/


3. Apache module mod_limitipconn, which allows web server administrators
to limit the number of simultaneous downloads permitted from a single
IP address.
Proxy tracking possibility is not supported yet since apache isn't patched.

WWW: http://dominia.org/djao/limitipconn2.html

[Corsair]

BasilKiselev, как правило ДДОС сопровождается IP-спуфингом, поэтому то, что вы заблокируете пару адресов вам погоды никакой не сделает.