Не открывается сайт, ddos ят походу. Что лучше сделать?

Обычно с твоей стороны ничего с DDOS поделать нельзя, потому что пакеты всё равно будут забивать твой канал, так как любые твои действия происходят уже ПОСЛЕ того как пакет поступил к тебе. Нужно либо подключать саппорт своего провайдера, чтобы они фильтровали на своих маршрутизаторах, либо обращаться в конторы про которые ты знаешь.

Можно попробовать вот это
https://serverfault.com/q/498245

На сервер с сайтом заходит канал 1гбит/с от провайдера, входящего трафика на сервер с сайтом 15 Мбит/с.
Cайт в виртуалке OpenVZ

Добавил ручками в iptables IP с которых шли попытки соединений

Надеюсь добавляете с DROP ?

да, только толку мало. Карусель из IP с которых ddos большая

Я говнофильтр писал под IP-tables. IP с которых слишком много запросов фигачил каким-то модулем во временную таблицу на XX минут, и все что в нее попало - дропал.

От мамкиных кулхацкеров спасало, а больше было и не надо.

Но надо чтобы канал гигабитный хотя бы, сотку слишком просто забить.

Но надо чтобы канал гигабитный хотя бы, сотку слишком просто забить.

Тут зависит от кол-ва желающих.

Когда на гигабит наскребут, уже провайдер прочухается.

Не то чтобы я отрицал холо^WDoS, просто 99% «отак» это криво настроенный апач вместо nginx и всякие скрипткиддисы из разряда «отокую саеты за WMZ, надежна».

Вдумайся в драматизм ситуации, атака на сайт-визитку! Это в какой извращенной логике вообще можно обосновать? Пока пришел в голову только раздел объявлений, рядом с гаданиями и наведением порчи.

Вдумайся в драматизм ситуации, атака на сайт-визитку! Это в какой извращенной логике вообще можно обосновать? Пока пришел в голову только раздел объявлений, рядом с гаданиями и наведением порчи.

Я емнип уже описывал одну ситуацию с ддос под который попали, на одном ресурсе детям подарили что-то типа «крякера интернета», вот детишки и начали его запускать. В вашем случае совсем не факт, что атака была на ваш сайт, под замес могли попасть.

Ну я о том же. Это не полноценная атака, а дурь. Отбивается на раз скриптами фаервола в полностью автоматическом режиме. Не заметишь даже.

Сразу - блочишь тор, локализуй по геопризнаку основные направления - блок по странам, ну и прямо с лога апача в риалтайм в дроп через пайп. Да, будет много попаданий не туда, но это ж временно все, ну и крути политику по пакетам в секунду. Это скорее всего школоддос, иначе у тебя бы вопросов не было.

а где взять список IP разбитый по геопризнаку и список IP TOR а?
до апача мало http запросов доходят чтобы по его логу анализировать, он не настроен на обработку 1000 запросов в сек. tcp коннекты висят в ядре в разном состоянии.
После фильтрации 13300 IP, сейчас всего лишь 20 tcp коннектов в состоянии ESTABLISHED и которые слушает httpd.
В эти 13300 попали мобильные операторы билайн и yota, коллега не смог через них открыть сайт.

гео - mmdb, тор на торпрожекте прямо и лежал вроде всегда

то что висит - крути iptables и дропай connlimit всякие

В эти 13300 попали мобильные операторы билайн и yota, коллега не смог через них открыть сайт.

Потому что не надо бороться с SYN-флудингом такими методами.

Провайдеры обычно не выпускают от себя пакеты с чужими ипами в срц.

как бороться с SYN-флудингом?

«Провайдеры обычно не выпускают от себя пакеты с чужими ипами в срц.» не понятно к чему это

не понятно к чему это

К тому, что если мамкин хакер захочет зафлудить с подменой срц, как тут предполагают, то не очень-то у него это получится.

1000 пакетов в секунду это чуть больше мегабайта в секунду. Это не ддос. Разбирайся, почему тормозит. Не должно.

как бороться с SYN-флудингом?

Не знаю что там у тебя за сервер, но для начала посмотри бэклог. И имей в виду, что это не просто очередь из синов, там еще коннекты до акцепта, и само значение в listen() не точно совпадает с реальным значением. Если что-то самописное, то есть смысл сделать как можно более лёгкий и быстрый акцепт.

Но скорее всего у тебя что-то простое, типа медленной работы скрипта или странных настроек производительности сервера.

сервер apache
на сайте несколько форм для отправки писем

Выключи сайт на сутки~трое. Ботнет пришлёт скрипт кидди письмо что рой атакует пустое место, скрипт кидди перебросит рой ещё куда то.

Отправка письма может быть очень медленной операцией. Обычно такие задания ставят в очередь для выполнения отдельным процессом, а клиента отпускают.

Поставь отладку на долгие запросы, может ситуация прояснится.

IP с которых шли

Злоумышленник может в пакет любой адрес вписать, если устройство генерирующее пакеты под его контролем.

SYN cookies включить можно наверное

Можно еще ип поменять в случае атаки, и на dns будет идти все, но тут нужно 2 соединения и менять зигзагом. Ну или вычислить можно будет того кто заведует стадом если у него связь с остальными.

Разрешил запросы на сервер с RU сетей 11393 штук, запросы на сервер почти прекратились.

Рассматривался ли вариант поставить перед сайтом Cloudflare на бесплатном тарифе и не тратить больше своё время?

«Про конторы которые занимаются защитой сайтов от типа ddos я знаю»
нет