DOSят сервак??? Что делать?

Итак ситуация такова. Веб-сервер Fedora + Apache(с уже установленным ) + PHP + MySQL

регулярно с одного из произвольных IP возникают запросы к апачу в количестве более чем по 200 штук. mod_dosevasive установленый на апач давит IP , после чего с интервалом в 3-5 минут снова приходит такой запрос... иногда mod_dosevasive не отрубает его, и тогда сервак приходится тормозить, а иногда даже и ребутить, не тушится нормально мускул... кто-нибудь сталкивался с таким - как побороть? Или может еще что-то может тормозить систему? Причем показания команды top в состоянии "сервер в ступоре" и в ступоре состоянии почти одинаковы

Ссылка

← Qmail - как перенаправить исходящую почту для отправки через внешний SMTP с авторизацией?

глупый вопрос про iptables →

по итогам исследований на тестовой площадке могу дать заключение - федору на сервер ставить нельзя ни в коем случае. ни первую ни вторую.

geek ★★★
(29.07.04 01:09:54 MSK)

может попробовать в конфиге апаче запретить более чем n подключений?

anonymous
(29.07.04 09:32:37 MSK)

Ответ на: комментарий от anonymous 29.07.04 09:32:37 MSK

версия апача?

anonymous
(29.07.04 09:35:44 MSK)

Ссылка

Ответ на: комментарий от geek 29.07.04 01:09:54 MSK

> могу дать заключение - федору на сервер ставить нельзя
А вы лучше не заключение, а результаты и условия тестов покажите. Возможно тогда ваше заключение будет более авторитетным, а то сомнительно как-то :-)

spirit ★★★★★
(29.07.04 09:39:45 MSK)

Ссылка

Для начала установи mod_limitipconn или используй connlimit из patch-o-matic: iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 10 -j REJECT

chucha ★★★☆
(29.07.04 09:49:37 MSK)

Ответ на: комментарий от chucha 29.07.04 09:49:37 MSK

2chucha: если DOS так легко забороть средствами netfilter'а то почему каждый день в инете сотни серверов подвергаются таким атакам, и довольно таки успешно?

anonymous
(29.07.04 12:34:33 MSK)

Ответ на: комментарий от anonymous 29.07.04 12:34:33 MSK

Сложно, точнее практически невозможно защититься от distributed dos.

chucha ★★★☆
(29.07.04 12:46:36 MSK)

Ответ на: комментарий от chucha 29.07.04 12:46:36 MSK

2chucha: а почему?

anonymous
(29.07.04 12:48:17 MSK)

Ответ на: комментарий от anonymous 29.07.04 12:48:17 MSK

спроси это у админов sco.com :)

chucha ★★★☆
(29.07.04 13:10:30 MSK)

Ответ на: комментарий от chucha 29.07.04 13:10:30 MSK

вот мне и интересен механизм этой атаки, казалось бы, ну отфильтровал ip соеденения, какой тут еще дос возможен? ну у ско сайта нагрузка понятное дело большая, поставили бы 100 подключений, и нету никакого доса. Или может у такой солидной конторы админы этого не умеют? но в это верится с трудом... Все таки, почему дос происходит?

anonymous
(29.07.04 13:31:06 MSK)

Ответ на: комментарий от anonymous 29.07.04 13:31:06 MSK

Досить могут с нескольких ипов это нумба ван ! ту - когда ты ставишь ограничение, пакеты по любому доходят до твоей машины, только тут они отбрасываются, так вот кол-во пакетов может быть такое что машина будет не справляться с ними и соответтвенно могут попасть и правильные пакеты, которые тож будут не обработаны, следовательно дос

по моему Ясно :)

anonymous
(29.07.04 13:36:14 MSK)