Что есть против DDoS?

мануалов по настройке сервера при ддосе в гугле тысячи, если не поможет, то стоит узнать у хостера может ли он чего-то сделать на уровне оборудования.

Мануалы прочёл. Мне не ясно как рассчитывать нагрузку и во сколько эти 5000 машин обойдутся конкурентам.

есть чуваки, через которых можно за деньги пропускать трафик, хитро фильтруя

А можно поподробнее?

Загугли, есть такие специализированные компании, давненько приходилось пользоваться услугой одной из таких, сейчас не вспомню какой именно. Это относительно дорого и цена, наверное, зависит от трафика, тогда обошлось вроде около $2000-3000 за месяц, если мне не изменяет память.

Мде. Дешевле будет серверов докупить. Но всё равно спасибо, попробую пройтись по логам на предмет айпишников.

Что есть против DDoS?

Ничего нет.

Пока режу число подключений в секунду с одного ip

А это и есть успешная атака. Отказ в обслуживании нужного пользователю числа подключений.

Сколько вообще должна держать такая система

Должна держать неограниченное число запросов.

Пока режу число подключений в секунду с одного ip

А это и есть успешная атака. Отказ в обслуживании нужного пользователю числа подключений.

Я режу слишком частые подключения для всех. Но мне, как юзеру, такое ограничение не мешает.

держит до 80 запросов в секунду

nginx->varnish->nginx->php-fpm: http://rghost.ru/33918661.view
LA дайбог до 0.5 доползает.

Неверно выразился, похоже. Если натравить siege, нормально отдаёт страницы при нагрузке до 900 одновременных подключений. 80 же - это среднее число обработанных за секунду подключений.

php-fpm

а ничо что сайт на рельсах?

Да хоть на вижуалбейсике.

Вообще, тестить siege и ab - некомильфо, лучше jmeter'ом. тут еще вопрос в том, за сколько он при такой нагрузке отдает страницы.

Если таки упирается в бэкэнд - реж, кешируй, разделяй, ставь балансировщики. Если в сетевой стек и канал - тады ой, магистральное оборудование в помощь.

Всё упирается в проц. ВДС с более чем двумя ядрами - это дорого, дешевле выйдет несколько машин купить %)

Ну так в проц то по разным причинам может упираться. Из-за бекэнда, из-за базы, из-за обработки тучи сетевых пакетов.

тучи сетевых пакетов.

фейспалм

тут правильно подсказывают про кеширование

Смотри личико не отбей.

Против атак такого рода обычно делают следующее. Если входной канал справляется то разрабатывается алгоритм который отделяет мух от котлет. Критериев множество: geoip, request rate, cookies, итд итп. После этого хосты банишь через ipset какой-нить. Можно сразу банить, например, Китай :).

Только вот если речь идёт о VDS то ой. А вот если выделенный сервак то у нас тачка (по современным меркам не фонтан, всего 2 проца старого поколения по 4 ядра) справлялась с почти гигабитным флудом. Увы, не помню сколько было packets per seconds.

Спасибо, ясно откуда начинать.

Ну и кеширование тоже нужно. А точнее комплекс мер направленный на увеличение производительности сайта. Так же на время атак мы отключали некоторые особо жрущие части сайта. А ещё было такое что злоумышленники специально посылали сложные запросы которые выжирали проц (поиск там, ещё всякая фигня).

http://highloadlab.ru/

Вот эти ребята какое-то время занимались фильтрацией DDoS бесплатно.

Спасибо!

ossec - не как панацея конечно, но как комплексная мера вполне.

а теперь попробуй httperf'ом

//не троллинг

80 запросов в секунду.

О боги, это все, чего достигло человечество? Я думал, что стандартная цифра на 2-3 порядка больше