DOS tegengaan

[SNS]

Beste collega's,

Zoals voor sommige bekend ondervinden onze servers een DoS die al voor geruimte tijd bezig is (http://www.webhostingtalk.nl/showthr...threadid=61904).

Ik heb zelf bijna geen ervaring met dergelijke aanvallen dus alles wat ik kon bedenken was om de IP adressen waar Sensson op draait te nullrouten. Dit is nu zo'n week geleden gebeurt en werkt prima, behalve, uiteraard, dat onze sites niet bereikbaar zijn. We hebben de IP adressen van onze klanten omgezet zodat deze er geen hinder van ondervinden.

Vanmiddag heb ik de nullroute tijdelijk verwijdert op 1 van onze servers wat meteen weer ruim 3000 connecties toeliet.

[root@falcone root]# netstat -an|grep 216.127.77.216|wc -l
   3011

Nu is mijn vraag, zijn er nog andere manieren om dit tegen te gaan? Want ik begin het spuugzat te worden. Het wijzigen van de IP adressen van de sites van Sensson zal geen effect hebben, omdat het erop lijkt dat alles naar www.sensson.nl/sensson.net/sensson.com gaat.

Alle tips zijn meegenomen, bedankt!

[Cybafish]

Hangt er vanaf wat voor verkeer het is. Vaak zijn het gewoon ICMP-ping requests en die kun je apart blokkeren op je router.

[s.vossen]

Wij hebben een tijdlang shellhosting aangeboden en zijn door DDoS attacks daar mee opgehouden.

We hebben verschillende keren van IP moeten wisselen en iedere keer kwamen de DDoS attacks weer terug en terug en werden heviger en heviger.

Uiteindelijk hebben we besloten tot het nemen van een nieuwe handelsnaam en compleet nieuwe domeinen + IPs.

Een DDoS attack kun je nu eenmaal niet uit de weg gaan, wel voorkomen.

Een idee is om even abuse@ van de betreffende IPs te gaan mailen. Lijkt mij op dit moment handiger de bron uit te zoeken dan zelf maatregelen te nemen.

En de betreffende IPs blokkeren in de router is ook geen oplossing? Of het moeten er gewoon te veel zijn ... ?

[SNS]

Het zijn er best een flink aantal, daarnaast komen er ook steeds andere bij.

Op abuse mailtjes wordt stomweg niet gereageerd.

[McRox]

Origineel geplaatst door tklaver
Het zijn er best een flink aantal, daarnaast komen er ook steeds andere bij.

Op abuse mailtjes wordt stomweg niet gereageerd.

Geprobeerd de ISP te bellen ipv te mailen?

[Dennis]

Die IP's kun je toch gewoon droppen via iptables? Of is het verstandiger deze de blocken via je router?

[s.vossen]

Het zijn vaak random IPs. Vaak wel binnen een bepaald IP block of bepaalde regio, maar toch te veel om te gaan droppen of blocken. Allemaal van die gekraakte machine's in Chinatown.

In de router blocken is beter omdat je dan het verkeer niet op de server krijgt, waardoor deze het rustiger heeft en zijn werk gewoon kan blijven doen.

[SNS]

We hebben het momenteel opgelost door een simpel maar toch aardig effectief script:

<?php
ob_start();
system('netstat -an|grep 216.127.77.216|grep -v LISTEN');
$result=ob_get_clean();
$ips=explode("\n",$result);
foreach($ips as $ip) {
        $ipadd = explode(" ",$ip);
        $block = explode(":",$ipadd[22]);

        $ipblock[$block[0]]++;
}
foreach($ipblock as $ip => $val) {
        if($val > 30 && !empty($ip)) {
                echo "Blocking ".$ip." (".$val." connections)\n";
                system('ipblock '.$ip.' on');
        }
}
?>

[Dennis]

Hmm

Waarom doe je dat niet via een firewall?

[SNS]

Dat doen we nu, ipblock gebruikt iptables.

[Dennis]

Uhm... dan begrijp ik het niet echt... dit PHP-script is onderdeel van je IPtables configuratie? Of...

[SNS]

system('ipblock '.$ip.' on');

Dat voert bijvoorbeeld dit uit:
root$ ipblock 192.168.1.1 on

De tool ipblock heb ik uit dit topic:
http://www.webhostingtalk.nl/showthr...threadid=51945

ipblock maakt gebruik van iptables.

[Reinier v Eeden]

Er zijn wel trics.

Je hebt mijn email adres.

groeten