Можно ли заддосить недоступный сервер?

Молотком

заддосить косвенно. инфраструктуру хостера, например. роутеры-свичи

Можно. Пошли на него поток, больше чем входной канал. Как вариант, банальный ping-flood с более быстрого соединения.

Досю покупаешь, упаковку на 10 литров воды, и доссишь! Ляжет 100%

Если только инфроструктуру. Если в сети ip кривые, то достаточно просто пропинговать как-то так:

ping -s 1000 -f x.x.x.x

Тупым досом по полосе можно

А если весь icmp дропать? Тоже ляжет?

Вырубить «тупым досом» недоступный извне сервак, хостящийся в дц со скоростью порта подключения 1гб/с, возможно вообще? Во сколько примерно обойдется заказчику такая додося?

Все возможно. Но ты успокойся, ддос уже проведен... ментальный, ты сам заблокировал все и всех :)

какая разница, что там блокирует твой iptables, если допустим пустить туда огромную волну udp-трафика, которая уложит канал? к примеру несколько десятков гигабит в секунду. обойдется это недёшево, и для этого нужен мощный ботнет. первый линк из гугла http://goo.gl/Wl1RIk

iptables обрабатывает пакеты уже на сервере (вот это неожиданность!). Следовательно что-бы он дропнул пакет он должен его принять, так-что можно просто исчерпать пропускную способность канала (в этом смысле не так-уж важно отбросил сервер пакет или принял). Нагонять трафик сейчас можно весьма лихо, смотри например DNS Amplification и NTP Amplification.
Кроме того даже просто дроп пакета операция не бесплатная. В некоторых случаях сервер может встать колом ещё до исчерпания пропускной способности канала.

первый линк из гугла http://goo.gl/Wl1RIk

Шоэто? При-чём тут какая-то MMO?

А если весь icmp дропать? Тоже ляжет?

А куда он денется, пакет дошел и свою задачу выполнил.

Вырубить «тупым досом» недоступный извне сервак, хостящийся в дц со скоростью порта подключения 1гб/с, возможно вообще? Во сколько примерно обойдется заказчику такая додося?

В рунете нередки атаки мощностю в десяток гб/с, хватит на десяток серверов как у тебя, в мире же самая тяжелая была под 300 гб/с. Сколько стоит - не знаю, не хакир.

flood-пинг не ждет ответа, пакет УЖЕ пришел на сервер. Ты его задропал - но полосу он тебе забил. Тут без спец. систем защиты от DDoS-а - никак

в мире же самая тяжелая была под 300 гб/с.

Текущий рекорд вроде 400 гбит/с, NTP amplification, февраль этого года.

Можно переложить фильтрацию на своего провайдера.

Спасибо всем за объяснения.

От защиты от доса обычно используют утилиты пакета iproute2, а не iptables.

Вот, почитай для начала: http://www.opennet.ru/docs/RUS/LARTC/index.html

Чем iproute2 лучше iptables в этом плане?

Чем

tc filter add dev $DEV parent ffff: \ protocol ip prio 20 \ u32 match ip protocol 1 0xff \ police mtu 1 drop \ flowid :1

Круче

iptables -A INPUT -p icmp -j DROP

?

линук еще ноет что ядро раздуто. еще бы, одних firewall'ов две штуки.

Настройками очередей. Чтобы даже при очень сильном флуде ты мог пройти «с мигалкой» мимо всех пакетов и законнектиться к своему серваку. Защита от доса это совсем не закрытие портов, если вернуться к сабжу твоего поста.

PS: ip в пакетах можно и подделать — будут как бы твои.

В iptables всё так просто и понятно, а тут в tc ужас какой-то. Что-ж, придется читать, спасибо за совет.

Чтобы именно ты не подключился - практически нереально, но затруднить или усложнить тебе жизнь - вполне. Зависит от хостера. Если это рашкин-хостеры, то 1 Гбит ддоса они вряд-ли выдержат. Если у тебя серьёзный дедик, в крутом датацентре Ирландии - до 10/20 Гбит он вытянет (с трудом) при наличии порта 10-50 Гбит (что редкость). Сумма такого оборудования в месяц около 30-60 штук деревянных в европе в месяц. Вряд-ли именно ты потянешь такое.

Чтобы тебя не ддосили, открой только ipV6 и нигде не пали его :-)

Можно ли каким-то способом заддосить мой сервер извне, чтобы я не смог к нему подключиться удаленно?

Ответами провайдерского DNS твоему серверу.

Усложним задачу. Есть два сервера. С помощью iptables сервера блокируют все входящие пакеты со всех ип, кроме одного. На одном сервере используется REJECT, а на другом DROP, сервера одинаковые из находятся в одной AS. Какой из них ляжет быстрей. И какова вероятность вычислить тот один разблокированный ipv4 адрес, если известно что ТС живет в Москве и у него NAT. И что быстрей произойдет, сервер отключат в ДЦ или ляжет ДЦ или клиенту начнут предлагать перейти на план с DDoS protection.

REJECT всегда отвечает анричибл, а DROP ничего не отвечает. Если входящий канал шире, чем исходящий, то, скорее всего, первый сервер ляжет быстрее.