Onderwerp: VPS Ddos protected

Ik kreeg vanmiddag nog ergens een 115K concurrent connecties aan mijn broek. En dat was nog geen 90 mbit.
Die bandbreedte boeit me op zo'n moment geen hol want die heb ik dan zat... maar op zo'n moment geef ik wel bijna een pink voor een handvol mips procs extra in de firewall

Oorspronkelijk geplaatst door systemdeveloper

Laten we zo zeggen... als het bestond... zouden de ing, rabo, abn, ideal partijen dan niet al eentje hebben aangeschaft

Volgens dat argument moeten we helemaal niks meer ontwikkelen. Nooit meer.

Een goed uitgevoerde ddos haalt je altijd neer. Punt uit.

Definieer "goed".

Je kan wel wat. SSL, http en smtp zijn vrij makkelijk te beveiligen met redelijke middelen, zelfs al beschik je maar over één ip. Natuurlijk, een vastberaden aanvaller met zeer grote resources kan het altijd lastig maken. Dan moet je terugvallen op zeer goede relaties met je upstream providers overal.

Dat gezegd hebbende... er is natuurlijk wel een redelijk verschil tussen partijen die er helemaal niets tegen doen en partijen die die wel hun best doen om e.e.a. in goede banen te leiden.

Het verbaast me ronduit dat de Linux community heel weinig interesse toont in goede technieken om DDOS attacks te overleven. Ik vermoed dan ook dat stellingen als "Er is toch niks tegen te doen" in grote mate deze opinie mee bepalen. En dat is jammer, want je beseft zelf ook hoe relatief dit gegeven is.

En een firewall daarentegen, vindt iedereen voor de hand liggend. Bij een goed geïnstalleerd OS is die echter nutteloos en het is het eerste dat faalt bij een DDOS attack.

Een goede DDOS strategie helpt ook om spammers en ander gespuis dwars te zitten en kost echt niet veel aan resources.

Oorspronkelijk geplaatst door cyrano

Je kan wel wat. SSL, http en smtp zijn vrij makkelijk te beveiligen met redelijke middelen, zelfs al beschik je maar over één ip. Natuurlijk, een vastberaden aanvaller met zeer grote resources kan het altijd lastig maken. Dan moet je terugvallen op zeer goede relaties met je upstream providers overal.

Als het volgens jou toch allemaal zo simpel is, waarom gaan er dan zoveel van de grote providers/banken down door een DDoS. Het is nu ook niet dat cloudflare en banken hier niets tegen doen, in tegendeel ze investeren enorm veel in anti-DDoS maar toch lukt het hen niet om alles 100% tegen te houden.

Oorspronkelijk geplaatst door cyrano

Het verbaast me ronduit dat de Linux community heel weinig interesse toont in goede technieken om DDOS attacks te overleven. Ik vermoed dan ook dat stellingen als "Er is toch niks tegen te doen" in grote mate deze opinie mee bepalen. En dat is jammer, want je beseft zelf ook hoe relatief dit gegeven is.

Wat heeft een community hier mee te maken, DDoS hou je niet tegen op je servers zelf maar hopelijk al een paar stappen eerder op hardware firewalls en routers. En niet iedere hoster heeft een eigen netwerk en ligt er daarom niet echt wakker van, dat is het probleem voor de netwerk leverancier.

Oorspronkelijk geplaatst door cyrano

En een firewall daarentegen, vindt iedereen voor de hand liggend. Bij een goed geïnstalleerd OS is die echter nutteloos en het is het eerste dat faalt bij een DDOS attack.

Daar spreek je jezelf dus tegen, want hoe kan dat falen als het volgens jou amper resources nodig heeft.

Oorspronkelijk geplaatst door cyrano

Een goede DDOS strategie helpt ook om spammers en ander gespuis dwars te zitten en kost echt niet veel aan resources.

Ik zie niet in wat die strategie te maken heeft met spammers en ander gespuis aangezien dat totaal iets anders is.

@cyrano. Ik denk dat je wat dingen door elkaar haalt. Spam een een ddos zijn 2 totaal verschillende dingen. Een goed geinstalleerde server.. heeft ook vrij weinig met een ddos te maken (even de prut installaties die met 100 concurrent users plat gaan wegens resourcegebrek niet meegerekent).

Een goede ddos hoeft niet eens op http/ssl/smtp nivo te zijn, maar kan zelfs op poorten zijn waar niet eens een service op draait.

Het is overigens nog niet eens zo heel erg als een firewall het niet meer trekt bij een ddos, zolang ie het verkeer maar niet doorlaat naar de servers. Een server kan tenslotte beter onbereikbaar zijn dan down of gecrashed.

Heb zelf nog afgelopen weken te maken gehad met DDOS op een klant.
Kan je vertellen, je staat op een gegeven moment machteloos. Als er meer verkeer binnenkomt dan dat je fysieke lijnen trekken dan kan je het gewoon schudden.
DDOS filter, firewall, etc... lariekoek, dan is het geen serieuze DDOS geweest.

Al is die desbetreffende server offline, letterlijk stroom eraf dan komt het alsnog je netwerk in je kan er gewoon niks mee.
Enige manier in dat geval is het ip nullrouten en als je het een beetje leuk voor elkaar hebt dan kan je dat met een community en is het binnen enkele seconden opgehouden.
En als het te vaak gebeurt dan moet je helaas overwegen die klant vriendelijk te verzoeken een andere hoster te zoeken, het is crap maar je moet ook denken aan andere klanten.

Wat is er nu zo moelijk om te begrijpen aan dat DDOS protectie niet bestaat. Er kan een hele boel geld besteed worden aan het minder makkelijk maken, het meeste wat echter in de markt aangeboden wordt is onzinnige software oplossingen die niet werken.
Het is soms heel moeilijk uit te leggen dat als je uplink 1GB is en de DDOS die je richting uit komt 2GB is dat het werkelijk geen klap uitmaakt welke softeware je installeerd en welke hardware je ervoor zet, je bent gewoon down.

Oorspronkelijk geplaatst door vDong

Wat is er nu zo moelijk om te begrijpen aan dat DDOS protectie niet bestaat. Er kan een hele boel geld besteed worden aan het minder makkelijk maken, het meeste wat echter in de markt aangeboden wordt is onzinnige software oplossingen die niet werken.
Het is soms heel moeilijk uit te leggen dat als je uplink 1GB is en de DDOS die je richting uit komt 2GB is dat het werkelijk geen klap uitmaakt welke softeware je installeerd en welke hardware je ervoor zet, je bent gewoon down.

En dan heb je het zelfs nog gewoon over puur traffic. Als je alleen al bekijkt hoeveel connecties je met 1Gbit kunt opzetten en hoeveel resources je daarmee kunt wegslepen dan heb je vaak niet eens zoveel als je fysieke lijncapaciteit nodig.

Oorspronkelijk geplaatst door systemdeveloper

En dan heb je het zelfs nog gewoon over puur traffic. Als je alleen al bekijkt hoeveel connecties je met 1Gbit kunt opzetten en hoeveel resources je daarmee kunt wegslepen dan heb je vaak niet eens zoveel als je fysieke lijncapaciteit nodig.

De 100% traffic is het beste uit te leggen. Ook is het de minst weerlegbaarde. Daarom gebruik ik die als voorbeeld, verder heb je compleet gelijk.

En toch verwacht je dat een van de grootste nederlandse hosters al bekend is met opties om ddos aanvallen te herkennen en tegen te gaan, en dit dus niet op een forum hoeft te vragen . (inkoppertje!)

Oorspronkelijk geplaatst door systemdeveloper

@cyrano. Ik denk dat je wat dingen door elkaar haalt. Spam een een ddos zijn 2 totaal verschillende dingen. Een goed geinstalleerde server.. heeft ook vrij weinig met een ddos te maken (even de prut installaties die met 100 concurrent users plat gaan wegens resourcegebrek niet meegerekent).

Een goede ddos hoeft niet eens op http/ssl/smtp nivo te zijn, maar kan zelfs op poorten zijn waar niet eens een service op draait.

Het is overigens nog niet eens zo heel erg als een firewall het niet meer trekt bij een ddos, zolang ie het verkeer maar niet doorlaat naar de servers. Een server kan tenslotte beter onbereikbaar zijn dan down of gecrashed.

Akkoord. Maar ik dacht aan tarpitten ipv blokkeren. Het consumeert de resources van de aanvaller op z'n minst een beetje, het is minder afhankelijk van bandbreedte en zélfs spammers die direct met de mailserver praten hebben er last van, want ook die worden vertraagd.

Een firewall gaat al door de knieën waar een tarpit nog niet eens begint te zweten...

En elke Linux distro heeft X firewalls, maar meestal geen kant-en-klare tarpit oplossing. Raar toch?

Oorspronkelijk geplaatst door cyrano

Akkoord. Maar ik dacht aan tarpitten ipv blokkeren. Het consumeert de resources van de aanvaller op z'n minst een beetje, het is minder afhankelijk van bandbreedte en zélfs spammers die direct met de mailserver praten hebben er last van, want ook die worden vertraagd.

Een firewall gaat al door de knieën waar een tarpit nog niet eens begint te zweten...

En elke Linux distro heeft X firewalls, maar meestal geen kant-en-klare tarpit oplossing. Raar toch?

Mja, in sommige gevallen is een tarpit leuk, maar als je een udp/syn/rst/fin flood hebt van 100K gespoofte adressen, dan heb je toch graag een firewall die een flood kan detecteren en die connecties kan proxien of op zijn minst ze pas doorlaat zodra de handshake compleet is. Anders gaat je tarpit even snel down als elke andere server.

Oorspronkelijk geplaatst door vDong

Wat is er nu zo moelijk om te begrijpen aan dat DDOS protectie niet bestaat.

Ben ik het niet mee eens. DDoS protectie bestaat weldegelijk, met dien verstande dat protectie niet betekent dat het niet plat te leggen is. Vergelijk het met een kluis. Het biedt weldegelijk protectie, maar het betekent niet dat de inhoud 100% veilig is. Het maakt het alleen wat moeilijker om er bij te komen.

You can take certain less costly steps.
E.g. litespeed is quite useful.
Other steps is to have a good provider who can step in if required.

Oorspronkelijk geplaatst door The-BosS

Verder zelf al heb je nog van die dure anti-ddos hardware staan moet deze ook goed werken en vooral moet je personeel er goed mee kunnen werken, zie maar naar het cloudflare fuck up moment door een regel toe te voegen in hun routers die het netwerk volledig down bracht.

Flowspec had dat natuurlijk niet moeten accepteren en al helemaal niet laten crashen. Human error heb je altijd. Cloudflare had gewoon de pech dat er een bug in JunOS en een fout van een medewerker samen alles platlegde. Als je alleen maar netwerkbeheerders aan moet nemen om dit soort regels in te voeren is het natuurlijk onhaalbaar om voor $200 dergelijke protectie te bieden.

Wat betreft de aanvallen van 1 mbit die de max connections voltrekken valt dus wel goed tegen te houden met speciale hardware. Maar voor de rest heb je gelijk en is het een kwestie van wie de dikste pijp heeft.

Oorspronkelijk geplaatst door layer7host

You can take certain less costly steps.
E.g. litespeed is quite useful.
Other steps is to have a good provider who can step in if required.

Litespeed is not for ddos protection. I think you wouldn't be able to withstand any serious attack, because
your NIC will go down on interrupts on packet floods, or your uplink (prolly 1 gbps) will be flooded with bandwidth.