DDoS aanval afwenden

[Martijnk]

Hallo, ik heb een vraag. Ik host twee colocated servers bij Vaxon in Alphen a/d Rijn. Ik draai hier een aantal gameservers op. Ik heb ook nog een dedicated server in de VS in Chicago.

Nu is iemand gisterenavond een DDoS aanval begonnen tegen mijn servers. In Chicago zag ik 9 mB/s verkeer binnenkomen, de machine was traag maar nog wel bereikbaar. Na een aantal uren stopte deze aanval. In Alphen echter, is de aanval om 8 uur gisterenavond begonnen en nog altijd bezig, sinds die tijd is mijn server niet meer bereikbaar.

Ik werd gemailed door Vaxon dat door de aanval een volledig rack eruit lag, ook andere klanten waren dus het slachtoffer. Ze hebben de poort naar mijn server mu gelimiteerd tot 10 mbit, deze zit nu nog steeds tot de nok toe vol en is nog altijd onbereikbaar. Ze zeggen dat ik alleen maar kan wachten tot het voorbij is.

Is hier niets tegen te doen? Volgens hun gaat het om teveel IP's wat niet te blokkeren is. Is dit op te lossen met een firewall bijv?

En zo nee, weet iemand een colocatie provider waar ik wel veilig ben voor die soort dingen?

Bedankt!

[erikjan]

Inkomende DDoS aanvallen zijn inderdaad erg moeilijk te blokkeren. Afhankelijk van de grootte in Mbits, het aantal source IP's en type traffic (UDP flood?) moet je kiezen hoe je hem afwend. Wanneer er een volledig rack door uitligt, kan je er denk ik vanuit gaan dat de aanval groter is dan 1 Gbit/s. Het blokkeren van IP's heeft geen zin, omdat de lijn toch al vol zit, de netwerkpoort 10 Mbit zetten zorgt er ook niet voor dat de aanval kleiner wordt. De beste mogelijkheid in zo'n geval is om het destination IP te laten blockholen, en een ander IP in te stellen voor de services die je aanbiedt. Het blackholen van een destination IP kan je laten doen door je colo provider. Het IP zal dan bij de upstream gelijk naar null geroute worden, weg traffic, maar je IP is ook echt offline voor de rest van het internet.

[Martijnk]

Dank voor de reactie.

Dat zou inderdaad een oplossing kunnen zijn, alleen het is dan een kwestie van tijd alvorens het nieuwe IP onder vuur wordt genomen. Ze zijn namelijk al maanden bezig hiermee. Meestal duurde de aanvallen slechts een paar minuten en was er te weinig bandbreedte om de server plat te krijgen maar die van gisteren is echt full scale en nog altijd bezig.

Ik denk dat ze toch al niet blij zijn met mij aangezien twee netwerk engineers heel de nacht bezig zijn geweest om de aanval af te wenden dus waarschijnlijk moet ik weg.

Als ik dan toch een nieuwe colo moet afsluiten, dan liefst eentje die bestand is tegen dit soort ongein dus als iemand tips heeft hoor ik het graag.

[erikjan]

Ik denk eigenlijk dat geen enkele colo provider blij zal zijn met een DDoS-magneet Heb je enig idee waar de aanval naar gericht is? Je zou je services zoveel mogelijk op verschillende IP's kunnen gaan draaien, wanneer je dan opnieuw moet blackholen is de impact een stuk kleiner. Heb je enig idee van de grootte van de aanval?

[Yourwebhoster]

Als je DDoS aanvallen aantrekt (met regelmaat) kunnen ze je afhankelijk van de afspraken in het contract en de voorwaarden je er uit gooien omdat andere klanten hier last van hebben. Ik zou hier dus mee oppassen.

Wat je kan doen is een hardware firewall neerzetten, hoewel het bij grote aanvallen enorm duur kan worden in aanschaf en niet altijd zal helpen. Daarnaast is dit geen garantie en kan je beter uitzoeken wat de reden tot aanval is. Wellicht een game clan die tegen een andere game clan bezig is (lekker sportief)?

[The-BosS]

Hallo, ik heb een vraag. Ik host twee colocated servers bij Vaxon in Alphen a/d Rijn. Ik draai hier een aantal gameservers op. Ik heb ook nog een dedicated server in de VS in Chicago.

Nu is iemand gisterenavond een DDoS aanval begonnen tegen mijn servers. In Chicago zag ik 9 mB/s verkeer binnenkomen, de machine was traag maar nog wel bereikbaar. Na een aantal uren stopte deze aanval. In Alphen echter, is de aanval om 8 uur gisterenavond begonnen en nog altijd bezig, sinds die tijd is mijn server niet meer bereikbaar.

Ik werd gemailed door Vaxon dat door de aanval een volledig rack eruit lag, ook andere klanten waren dus het slachtoffer. Ze hebben de poort naar mijn server mu gelimiteerd tot 10 mbit, deze zit nu nog steeds tot de nok toe vol en is nog altijd onbereikbaar. Ze zeggen dat ik alleen maar kan wachten tot het voorbij is.

Is hier niets tegen te doen? Volgens hun gaat het om teveel IP's wat niet te blokkeren is. Is dit op te lossen met een firewall bijv?

En zo nee, weet iemand een colocatie provider waar ik wel veilig ben voor die soort dingen?

Bedankt!

Om een lang verhaal kort te houden, hier is niets waar jij iets kan aan doen, dit moet je uplink/transit provider regelen. Jij kunt wel een software matige firewall op je server zetten maar dat verhelpt het probleem niet maar verschuift het alleen maar. Aangezien de trafiek nog steeds op je server toekomt, alleen moet de firewall dan zeggen denied ipv dat een service het antwoord. Dus mem en cpu belasting ga je nog steeds hebben net als dat het volume/aantal request ook gewoon blijft toekomen op de netwerkpoort.

Dat een heel rack er jammer genoeg de duppe van is, is spijtig te noemen maar niet echt jouw probleem maar dat van je provider. Zij moeten er immers voor zorgen dat dit niet kan voorvallen. Of maatregelen treffen zoals je ip nullrouten zodat andere klanten er geen last of minder last van hebben, kiezen tussen het minste kwaad zeg maar.

Wat betreft het hier is niet tegen te doen geval, dat is niet volledig waar, maar dat zal natuurlijk afhangen van het materiaal dat je provider gebruikt. Er zijn genoeg hardware matige firewalls die dit wel kunnen, alleen hangt hier natuurlijk een prijskaartje aan. De netwerkpoort op 10mbit zetten zal het probleem niet oplossen, vergelijk het met een file waar je al 2km/u vooruitgaat op 10 rijstroken en je plots allemaal over 1 rijstrook moet. De uplink zal dus nogaltijd alle trafiek ontvangen en die doorzenden naar je netwerkpoort maar dus niet genoeg capaciteit heeft waardoor de switch het dan weer moeilijk krijgt.

[rensariens]

Dat een heel rack er jammer genoeg de duppe van is, is spijtig te noemen maar niet echt jouw probleem maar dat van je provider.

Dat is natuurlijk onzin. Vrijwel elke provider zal je gewoon blackholen en dus is het weldegelijk jouw probleem. Server van TS zorgt voor overlast, ook al is het niet zijn schuld.

[Martijnk]

Ik werd net weer gemailed door de provider, de aanval is na 2 dagen nog altijd bezig maar volgens hen is hij wel zwakker geworden nu, mijn server is nog altijd onbereikbaar en dat zal ook wel zo blijven voorlopig.

Ze zeiden ook eerst uit te gaan zoeken waar de aanval vandaan komt en dat ze voorlopig geen reden zien om mij de deur te wijzen, daar ben ik wel blij mee op zich.

Wat de grootte van de aanval betreft, volgens hen ging het om meer dan een gbps dus dat lijkt me aardig groot, het meeste filteren ze er nu uit.

Waar ik me zorgen om maak is wie er een een heel botnet in gaat zetten om een gameservertje aan te vallen, dat verbaast me echt heel erg. Blijkbaar heeft de aanvaller capaciteit genoeg om iedereen op elk moment aan te vallen en is het voor hem geen probleem zijn resources hiervoor te gebruiken.

Ik denk dat ik hoe dan ook ga verhuizen naar een provider die hier betere middelen tegen heeft, zoals leaseweb die een stuk groter zijn, meer capaciteit hebben en waar dit soort aanvallen waarschijnlijk aan de orde van de dag zijn.

Dank voor de reacties!

[marsipulami]

Ik denk dat ik hoe dan ook ga verhuizen naar een provider die hier betere middelen tegen heeft, zoals leaseweb die een stuk groter zijn, meer capaciteit hebben en waar dit soort aanvallen waarschijnlijk aan de orde van de dag zijn.

Ze zien je aankomen. Ook al zal het bij hun vaak voorkomen ze zijn er net zo min blij mee als dat jij dat bent. Ook voor hun is het moeilijk om DDos te behandelen als ze het weer op jou gemunt hebben zal de oplossing ook weer in jou nadeel zijn warschijnlijk

[The-BosS]

Dat is natuurlijk onzin. Vrijwel elke provider zal je gewoon blackholen en dus is het weldegelijk jouw probleem. Server van TS zorgt voor overlast, ook al is het niet zijn schuld.

Lees eens mijn volledige alinea zou ik zeggen, ik stel toch wel degelijk dat TS hier niets kan aan doen en dat zijn provider dat moet doen door o.a. ip te null routen. Of hoe denk jij dan dat TS zelf het probleem voor een volledig rack kan oplossen aangezien hij geen toegang heeft tot routers/firewalls/switches. En zelf al zou hij bvb zelf zijn server uitzetten door middel van een pdu dan nog komt de trafiek (aanval) toe op de routers van zijn provider dus dat lost het probleem ook niet op.

Wat betreft de DDoS zelf, is deze gericht naar een bepaalde poort of is het algemeen, anders zou je bvb zo kunnen bepalen wie hier achter zit. Als je het doel kunt bepalen kan je meestal de reden en oorzaak ook achterhalen.

@TS: Wat betreft je mogelijke verhuis, hou wel even in gedachten dat grote partijen als leaseweb niet echt tijd hebben om zich met zulke dingen bezig te houden en gewoon hun procedures zullen volgen. En dat is meestal in jouw nadeel door bvb de server te null routen, volledige ranges te blokken in de firewall en jou achteraf de rekening van trafiek (werkuren) te presenteren.