flood problem

hello na vsichki,

imam sledniq problem :

razpolagam s dva servera na colo v amerika. polzvat se predimno za hosting na klientski sites, poshta i ssh access za nqkoi klienti. nqkoi "dobrojelatel" mi puha stabilen flood, a kogato prevantivnite sredstva na tezi ot ISP-to nadushat neshto podobno, spirat ineta na mashinata i me puskat offline :) izlishno e da kazvam, che tova suzdava dostatuchno neudobstva. isp-to mi pokazvat razni filtri, statistiki i edin kup drugi laina, no nishto konkretno. imal li e nqkoi ot vas podoben problem i kak e bil razreshen ? thanks

При мене в нашта малка мрежа 5-6 нетаджии (20ина мрежовици общо) имах го тоз проблем и ма спираха и мене. Оказа се че проблема идва от Windows машините (заразени с незнам си кой червей) и правят супер много изходящ трафик (за 1 седмица около 400МБ), на порт от 135 до 137 (не си спомням точно кой).

Другото което ми се случи: Сървара ми беше с пуснат SSH демон да мога да се връзвам отдалечено, ама и някой друг са беше вързал , беше сложил в стартиращият скрипт rc.local някаква програмка и беше променил правата на скрипта да не мига да го променям дори и с рут права. Та тази програмка пращаше данни до едно IP (постоянно).

Та това е моят опит. Дано помогне с нещо

Според мен единствено ISP-то може да помогне (ако доброжелателят е от интернет, а не в локалната мрежа там). Т.е доставчикът ти на връзка трябва да филтрира / забрани всички заявки за каквото и да е от дадения или дадените адреси, които правят трафика.

Лошо е, ако заявките идват от много адерси, както беше с MyDoom и сайта на Майкрософт, тогава сайтът няма избор и или трябва да бъде свален оффлайн, или да си понесе геройски флоода, за да продължи да работи.

Друго решение е да смениш ИП адреса на машината с някой друг и да го предефинираш в DNS-a си, ако флудят по ИП адрес, но това решение не е много ефективно, поне временно може да реши проблема, докато флудърите не се усетят.

-----
Lay your troubles on my shoulder, put your worries in my pocket, rest your love on me

kakuv e flood-a?

kogato te floodqt pusni edin tcpdump i edin iptraf ... vij kakvo stava
s kakvi paketi te floodqt, koi te floodi (IP, mac), na koi port te floodqt, .... dali floodqt s ping ili floodqt konkreten server s tcp_syncookies naprimer ....


FLOOD e mnogo obshirno ponqtie
ponqkoga e trudno da se zashtitish ot flood .... da ne kazvam nevuzmojno ... zashtoto edin vid zashtita moje da predizvika drug problem.
naprimer ako filtrirash flooda s iptables moje da ti se pretovari iptables i ......... kernel panic :)

Kaji kak te floodqt i moje da namerim reshenie na problma.

спирането на флууда е задължение на доставчика ти, а не твое! Това е защото дори да си го филтрираш сам той пак ще идва до теб и ще ти товари връзката барабар с машината.
За да се филтрира този флууд както runtime_error каза трябва да се знае дали идва от определено айпи или е със спууфнати такива, дали е до определен порт, ако да, тогава от ИСП-то са можели един милион пъти да го филтрират до сега.
Единствения случай в който това твое ИСП може оправдано да те отреже е ако флууда е едновремено е със спууфнати айпита и до случаен порт, но това е ситуация която е много рядко срещана и обикновено това не е червей а по скоро някой недоброжелател.

Колегите са дали достатъчно добри съвети, наистина извади някаква информация с tcpdump или iptraf и ще помислим над въпроса, трябва да се намери решение. Аз понеже няма смисъл да повтарям думите им, всъшност исках да ти дам друг съвет. Специялно в Щатите има едно много хубаво законче, по което се смята за престъпление умишленият флууд на даден сървър или кмомпютър някъде. Всъшност е логично да е така, защото в случая като при теб, както има клиенти за които става невъзможно да работят в този момент, може да се говори и за пропуснати ползи, а от тук и за обезщетение. Използвай и законовият път, съмери информацията достъпна за теб от твоят сървър и натиснете ISP-то да си свършат работата и проследете от къде идва това и какъв може да е възможният причинител, след което ти си знаеш предполагам какво да направиш?

privet otnovo,

ustanovihme kakuv e flooda -- floodiat me s tcp syncookies ot 3-4 mashini namirashti se na teritoriata na south korea i china vurzani na skorost zaslujavashta uvajenie. ochevidno sa bili hacknati ili sa prosto izostaveni. loshoto ot cqlata rabota e, che dokato resolve-nem problema klientite vzemat da vikat i nedovolstvat, a ne e osobeno priqtno da se izvinqvash na razgneveni useri .. kogato te nqmat vina .. biznes .. kakvo da se pravi, mrusotiqta vurvi ruka za ruka s nego

tuka si vinoven ti!

ima zashtita ot tcp syncookies i tq e komanda ot samo 1 red !!!

echo 1 > /proc/sys/net/ipv4/tcp_syncookies

Mevduwproshem, syncookies flood ne e tipichen flood celqsht da pretovari vruzkata ti s internet ili subori mashinata. Tova e po-skoro DoS ataka celqshta da spre edin ili poveche procesi slushashti na razlichni portove. Tazi ataka se harakterizira s tova che pravi hilqdi zaiavki za konekcii kum edin ili poveche otvoreni porta s vuzmojnost sa spoof (konekcii ot razlichni proizvolni IP-ta) no vinagi ot edin i sushti MAC adres dori spoofnat toi e edin.
Celta e da spre atakuvaniqt proces i ti da se prinudish v neznanieto si zashto e sprql da go restartirash :). Tova moje da e posledstvie ot edno dobro hakvane :) i nujda da restarirash daden proces za da pochne da raboti taka kakto e iskal hakera. Ili prosto nqkoi se e gavril s teb. Nai tipichen primer za flood sus syncookies e port 80 http.

A eto ti i programkata s koiato se pravi tova:
ggenov@ggenov:~/software/linux/synk4$ ./synk4
Usage: ./synk4 srcaddr dstaddr low high
If srcaddr is 0, random addresses will be used

ako iskash testvai q :) nameri si tozi fail -> synk4.c i si go kompilirai na mashinata i vj kak raboti :)
Rezultata ot edin syncookies flood se vijda prekrasno s komandata -> netstat -ap

Uspeh!!!

Zabravih da predopredq :)
Takuv vid flood syncookie, ne se opitvai da go filtrirash. Purvo zashtoto e trudno, a i dori da uspeesh ima vtoro, moje da dovede do crash-vane na Linuxa ti sus suobshtenie kernel panic.