Onderwerp: DDOS aanval maar krijg het niet gestopt.

Hallo,
Ik noem het ddos maar weet niet of jehet zo moet noemen?

Ik probeer het te stoppen en het komt vanaf 1 ip.
Er komt flink wat data op de server af, al flink wat GB's

Ik probeer het te stoppen via iptables.
Dit heb ik gedaan in de iptables:

iptables -A INPUT -s 109.230.245.** -j DROP

Maar de aanval gaat gewoon door? Klopt het wat hier bovenstaat?
En kan ik nog iets anders doen?

iptables -A INPUT -s IP-ADDRESS -j DROP

Mocht dat niet helpen dan kan je je hoster
Altijd vragen om dat ip te null routen

Hoeveel verkeer komt er binnen, wat voor verkeer komt er binnen?

Ik wil best wel helpen, maar te weinig info.

Het verkeer zit al in het netwerk. Dat jij een firewall rule hiervoor heb geconfigureerd is prima, maar daarmee stop je het verkeer niet.

Je provider moet dus een blokkade zetten op het IP adres wat de aanval uitvoert.
Op die manier kom je er van af.

Wat het is kan ik niet zien.

Het zijn kleine packetje die binnen komen over verschillende poorten achter elkaar.
En het is toch nu wel al zo'n 600 gig.

Provider heb ik ook een ticket gestuurd

Oorspronkelijk geplaatst door crossplatform

Het verkeer zit al in het netwerk. Dat jij een firewall rule hiervoor heb geconfigureerd is prima, maar daarmee stop je het verkeer niet.

Je provider moet dus een blokkade zetten op het IP adres wat de aanval uitvoert.
Op die manier kom je er van af.

Om het nog beter toe te lichten: Het verkeer zal ook na iptables naar je server gestuurd worden maar met iptables zorg je er voor dat verder niks met dat verkeer gedaan kan worden. Mocht je het verkeer naar je server willen stoppen vanaf dat IP dan zal je bij je netwerk/colo/server boer moeten zijn om te vragen of dat IP genullrouted kan worden.

Wat is overigens veel verkeer (vele GB's maar in welke tijdspanne) en om wat voor verkeer gaat het?

Wat het precies weet ik niet.
En het is begonnen vanacht om 2.39.
Normaal heb ik per maand maar 100 tot 150 gig vebruik.
Dus 600 in 1 dag is VEEL voor mij.

# ip route add blackhole $IP

is wat minder belastend voor de server dan via IP-tables. Als je meer IPs te blocken hebt, of een subnet wilt blocken kan dat ook via zo een nullroute (net als met IP tables btw).

Oorspronkelijk geplaatst door Lo-nrd

Wat het precies weet ik niet.
En het is begonnen vanacht om 2.39.
Normaal heb ik per maand maar 100 tot 150 gig vebruik.
Dus 600 in 1 dag is VEEL voor mij.

Dan is dat inderdaad een verschil. Weet je om wat voor verkeer het gaat (inkomend neem ik aan, maar naar welke poort?).

O ja, een subnet block je niet met twee wildcards ** toch (of probeer je het IP anoniem te houden?)? beter 109.230.245.0/24 gebruiken. In ieder geval moet het verkeer meteen weg zijn. Zo niet, zit er een fout in de regel.

Ja idd denk plaats niet gelijk het IP hier.
Het gaat naar poort 7778. Dat is een query poort van een Unrealtournament 99.
Die heb ik inmiddels uit gezet en de user waar die onder draaide ook verwijderd.

Maar het gaat gewoon door op die poort.
Ook als ik de server op de switch aan en uit heb gedaan.

Oorspronkelijk geplaatst door Lo-nrd

Ja idd denk plaats niet gelijk het IP hier.
Het gaat naar poort 7778. Dat is een query poort van een Unrealtournament 99.
Die heb ik inmiddels uit gezet en de user waar die onder draaide ook verwijderd.

Maar het gaat gewoon door op die poort.
Ook als ik de server op de switch aan en uit heb gedaan.

Switch poort aan en uit zetten zal niet helpen, als je op netwerk niveau iets wilt doen dan gaat het toch echt null routen worden.

Ja ik wacht nu op antwoord op me ticket.
Ik heb de server offline gehaald op dit moment.

zou idd zsm contact leggen met de provider, als die het ip (zoals hierboven gezegd mara dan in andere bewoordingenen denk ik) het netwerk niet binnenkomt heb je er zelf pas geen last meer van. De provider zelf kan het ip dan desnoods ook bij de transit providers laten blokkeren zodat ook zij er zelf geen hinder meer van hebben!

Voorgaande antwoorden helpen je eerst wel even verder, maar het antwoord op deze vraag:

Oorspronkelijk geplaatst door Lo-nrd

Ik noem het ddos maar weet niet of jehet zo moet noemen?

is, nee.
De eerste "d" bij ddos staat voor "distributed" en geeft aan dat de aanval vanaf meerdere locaties komt.
In dit geval lijkt het dus te gaan om een "normale" denial of service aanval.