Вариант для распечатки		Пред. тема | След. тема
Форум Разговоры, обсуждение новостей
Режим отображения отдельной подветви беседы		[ Отслеживать ]

OpenNews: Новая версия пакетного фильтра для Linux - iptables 1.4.0, opennews (??), 26-Дек-07, (0) [смотреть все] ключ -table в iptables-restore недавно нужен был, ток подумал и тут новость , valfrom (?), 14:30 , 26-Дек-07, (4) есть слова с pf не сравнится , V (??), 14:48 , 26-Дек-07, (6) // Embedded-системы -- вообще беседа отдельная Строго говоря, для них и BSD, и Lin, Andrew Kolchoogin (?), 15:21 , 26-Дек-07, (9) Спасибо, нормально объяснили По-больше б таких камментов на ОпенНете, fresco (??), 15:29 , 26-Дек-07, (10) да, спасибо Интересно, почему под Линь только iptables А под бсд столько мног, sHaggY_caT (??), 15:43 , 26-Дек-07, (11) Это неправда Есть порт IP Filter под Linux Потому, что они изначально н, Andrew Kolchoogin (?), 16:08 , 26-Дек-07, (13) Это тот, который IP filter - IP chains - IP tables , Ананимуз (?), 16:54 , 26-Дек-07, (17) Благородный дон не понимает разницы между IP Filter и ipfwadm - , Andrew Kolchoogin (?), 17:10 , 26-Дек-07, (18) Ааа Это про тот IPFilter, который ipf и пишется слитно , Ананимуз (?), 22:52 , 26-Дек-07, (27) Благородный дон не потрудится ли посетить http coombs anu edu au avalon и уб, Andrew Kolchoogin (?), 01:30 , 27-Дек-07, (33) Не совсем понял какое отношение это имеет к вопросу о мне показалось что вы гово, demimurych (?), 15:45 , 26-Дек-07, (12) Дело в том, что на домашних роутерах стоит одна задача -- удешевления И поэ, Andrew Kolchoogin (?), 16:11 , 26-Дек-07, (14) Сейчас железки без MMU - скорее экзотика Если лучше, то почему куда ни плюнь в , Аноним (-), 16:27 , 26-Дек-07, (15) Да ладно уж, экзотика Xscale далеко не везде Я обычно в VXWorks и его д, Andrew Kolchoogin (?), 16:49 , 26-Дек-07, (16) ну 100kpps вполне реально получить на половине fast ethernet , Аноним (-), 17:29 , 26-Дек-07, (19) Так сейчас так, втупую, никто не DoS ит микропроцессоры стали достаточно быстры, Andrew Kolchoogin (?), 21:53 , 26-Дек-07, (24) ага, но остались ОС, в которых нет polling и которым от относительно небольших з, Аноним (-), 10:20 , 27-Дек-07, (48) Ну, в эпоху PCI Express и даже PCI с Message-signalled Interrupts это уже мало, Andrew Kolchoogin (?), 17:46 , 27-Дек-07, (60) Ой Шо, таки уже убрали один глобальный лок на весь PF Пока что на тестах файр, nuclight (?), 22:18 , 30-Дек-07, (115) gt оверквотинг удален Насчет SMP можно медленнее и подробнее Ксеоны 3 4 одн, routerSMP (?), 20:38 , 17-Янв-08, (123) Прочитал сие и сразу средце екнуло неужели к нам сам Rusty Russell заглянул, ли, Sampan (?), 21:43 , 26-Дек-07, (21) gt оверквотинг удален Аналог scrub и modulate state у iptables в студию , Andrew Kolchoogin (?), 21:48 , 26-Дек-07, (22) Скажите, а часто вы на интенсивном трафике пользуетесь scrub state modulation , Дохтур (?), 22:11 , 26-Дек-07, (25) Стоять Вопрос был в возможностях пакетных фильтров Так что не надо увиливать А, Andrew Kolchoogin (?), 01:28 , 27-Дек-07, (32) вы же прекрасно понимаете что прямых аналогов нет часть функционала есть в штатн, Аноним (-), 10:42 , 27-Дек-07, (49) Ну тогда и не надо кричать Надо уметь честно признаваться, что у нас вот э, Andrew Kolchoogin (?), 17:56 , 27-Дек-07, (61) Ооох заглянем в в man http www freebsd org cgi man cgi query pf conf apropo, Аноним (-), 20:50 , 27-Дек-07, (76) кесарю кесарево знаете-линюхач snort snortsamМожет см выше, BB (??), 21:01 , 27-Дек-07, (77) снорт даст куда большую нагрузку на cpu Хотя бы потому что ему придётся слушать, Аноним (-), 21:15 , 27-Дек-07, (83) Ох, ну ведь можно-же хоть иногда думать на шаг вперед,а не воспринимать все в ло, BB (??), 22:08 , 27-Дек-07, (85) вы алерты откуда получать будете С сенсоров В любом случае сенсоры должны мони, Дохтур (?), 23:34 , 27-Дек-07, (87) Он не свобеобразный, а вполне себе обычный язык tcpdump Который уже и так обяза, nuclight (?), 22:29 , 30-Дек-07, (117) Если фильтровать на уровне ядра через узлы NetGraph а ipfw имеет свои узлы , ск, Кирилл (??), 11:06 , 29-Дек-07, (112) Кстати, passive os fingerprinting в iptables поддерживается модулем OSF OS fing, Анонимус (?), 00:30 , 28-Дек-07, (89) Есть патч для ipfw емнип, даже в базе PRов И он и без патча уже может матчить, nuclight (?), 22:20 , 30-Дек-07, (116) http ozlabs org rusty index cgi 2006 08 15no scrubbing, but we do fragment re, s_dog (??), 01:05 , 27-Дек-07, (31) Я ж просил аналоги вполне конкретных вещей scrub и modulate state И где он, Andrew Kolchoogin (?), 01:49 , 27-Дек-07, (36) Вобщем-то, правильно сказали выше Некорректно требовать именно аналога вот этой, Nick (??), 08:55 , 28-Дек-07, (98) Тоже знаю Ринет и знаю, подтверждаю, что там циски, но фрю там любят Не рекламы, SunTech (?), 18:54 , 27-Дек-07, (72) gt оверквотинг удален что вы плетёте какие 800 Гб - это 25 Гб в деньповерьт, Redacid (??), 22:13 , 27-Дек-07, (86) Издеваетесь, коллега - Там только на инфраструктуру MSK-IX гигабит , Andrew Kolchoogin (?), 01:58 , 28-Дек-07, (96) Вообще-то я имел ввиду ширину внешних каналлов, но не в этом суть Это всего лиш, Redacid (??), 08:03 , 28-Дек-07, (97) Без обид, но это первый признак непрофессионализма - исходить из личных предпочт, Аноним (-), 11:37 , 28-Дек-07, (103) Это потрясающе - мало того, что сам нифига не знает, дык ещё и других поучать бе, guest (??), 23:43 , 26-Дек-07, (28) Ну вот опять Только дин думающий и вменяемый человек на опеннете высказался, ка, klez (??), 23:59 , 26-Дек-07, (29) Высказался может и правильно да вот только ИМХО не объективно, pavel_simple (ok), 00:09 , 27-Дек-07, (30) На OpenNet е высказываются почти никогда не объективно объективность _может_ бы, Andrew Kolchoogin (?), 01:52 , 27-Дек-07, (37) Ну, я человек без комплексов, ФСБ не боюсь, так что подписываюсь везде и всегда , Andrew Kolchoogin (?), 09:25 , 27-Дек-07, (46) Гражданин, OpenNet -- не место, где показывают свои комплексы Во-первых,, Andrew Kolchoogin (?), 01:47 , 27-Дек-07, (35) При админе-эникейщике все пофиг - все равно работать не будет Странно, а у меня , Аноним (38), 02:15 , 27-Дек-07, (38) Безусловно Всё, что один человек сделал, другой завсегда сломать может , Andrew Kolchoogin (?), 09:18 , 27-Дек-07, (42) em, bge в 6ке или это драйвера, не считается , Аноним (-), 10:46 , 27-Дек-07, (50) У меня 6 ка с em работает два года, и ничего там не ломается Что я делаю не та, Andrew Kolchoogin (?), 17:57 , 27-Дек-07, (62) т е то что творилось в freebsd-net freebsd-current перед выпуском 6 2 - это г, Аноним (-), 19:51 , 27-Дек-07, (73) А, это про импорт и откаты Так это же _перед_ выпуском Вы бы почитали -current , Andrew Kolchoogin (?), 01:53 , 28-Дек-07, (95) имеется ввиду, что он у вас core router ЗЫ постинги на редкость осмысленные для , V.O. (?), 04:52 , 27-Дек-07, (39) Не у меня, у tvoe tv Да, MPLS Core сделан на нескольких 7604 х У меня core, Andrew Kolchoogin (?), 09:21 , 27-Дек-07, (43) Так, теперь ещё и ядро с дистрибутивом путаем вообще красота Ядро и базовые б, гость (?), 12:12 , 27-Дек-07, (53) Извините, у нас принято говорить про работающую платформу Или ядро Линук, Andrew Kolchoogin (?), 18:27 , 27-Дек-07, (70) да Андрей, вы же вроде адекватный человек А давайте туда постгрес с 50гиговой , Аноним (-), 20:04 , 27-Дек-07, (74) Это как сказать, где-то умеет, с использованием мегахаков , а где то нет Есть , BB (??), 20:46 , 27-Дек-07, (75) насчёт беты вы где прочитали зачем домашнему роутеру принимать fullview ospf с , Аноним (-), 21:06 , 27-Дек-07, (81) В рассылках, до сих пор существует проблемы которые не позволяют использовать ca, BB (??), 22:01 , 27-Дек-07, (84) а мы с вами об одном и том же говорим я про http tservice net ru s0mbre old , Дохтур (?), 23:52 , 27-Дек-07, (88) Да именно, не так пока еще хорошо вылизано как в исходной ОС, второе не понятна , BB (??), 10:33 , 28-Дек-07, (101) а зачем логика работы разная, функционал - тоже area чаще всего контексте ospf , Аноним (-), 11:41 , 28-Дек-07, (104) Ну вот об этом и речь, так как сам по себе голый carp не очень-то и нужен, как я, BB (??), 13:28 , 28-Дек-07, (106) gt оверквотинг удален дык стейты iptables синхронизируются, иначе смысла нет А, Аноним (-), 15:13 , 28-Дек-07, (107) Я не про IPoATM Я про Ваш предыдущий пост Я писал, что Linux чем-то схо, Andrew Kolchoogin (?), 01:48 , 28-Дек-07, (91) да, есть такое дело, что что-то ломают никто от этого не застрахован , Аноним (-), 11:46 , 28-Дек-07, (105) вопрос а соляра 10 в этом смысле лучше быстрее или хуже медленнее Linux или B, V.O. (?), 05:04 , 27-Дек-07, (40) Сложный вопрос Как маршрутизатор, или как платформа для какого-то сервиса , Andrew Kolchoogin (?), 09:22 , 27-Дек-07, (44) как генератор помех на канале для тестирования в ims те умный бридж ЗЫ байт на , V.O. (?), 15:08 , 27-Дек-07, (56) Я бы взял FreeBSD На нём есть dummynet, который, собственно, для такого тестиро, Andrew Kolchoogin (?), 18:14 , 27-Дек-07, (69) выдержки из man iptables mac --mac-source address Match, Алексей (??), 14:37 , 27-Дек-07, (55) Вы невнимательно читаете мои комментарии Именно это я и написал Что PF , Andrew Kolchoogin (?), 18:08 , 27-Дек-07, (67) сеть 22, каждому хосту в ней зарезать полосу в 1Мбит На ipfw есть хоть динамиче, Аноним (-), 21:09 , 27-Дек-07, (82) А PF вообще полос не режет Но altq спасёт отца русской демократии , Andrew Kolchoogin (?), 01:40 , 28-Дек-07, (90) altq - часть pf , Аноним (-), 15:14 , 28-Дек-07, (108) altq не часть pf Просто pf умеет с работать с очередями Но должную функциона, Кирилл (??), 10:59 , 29-Дек-07, (111) Вы явно подробно с PF не знакомились PF может управлять шейпингом , Кирилл (??), 11:29 , 29-Дек-07, (113) В PF есть возможно динамически изменять правила через механизм якорей PF вообще, Кирилл (??), 11:32 , 29-Дек-07, (114) gt оверквотинг удален Знает PF об ethernet Есть там возможность фильтровать п, Кирилл (??), 10:53 , 29-Дек-07, (110) пакетный фильтр в случае ДоС как раз и спасает,особенно pf с лимитами , Аноним (38), 17:53 , 26-Дек-07, (20)   // Особенно, когда DoS ят Апач, вызывая динамический контент Загрузка проца взлета, Andrew Kolchoogin (?), 21:51 , 26-Дек-07, (23)   // у нормальных людей опач работает бэкэндом А такую паразитную активность весьма , Дохтур (?), 22:17 , 26-Дек-07, (26)   // И что Он от этого как-то сильно меньше CPU Time кушать начинает Exponen, Andrew Kolchoogin (?), 01:37 , 27-Дек-07, (34)   Да с cpu time не проблема Опач обычно в prefork гоняют, так что чаще упираешься, Аноним (-), 10:56 , 27-Дек-07, (51)   Согласен Далеко не всегда В большинстве случаев, с которыми мне прих, Andrew Kolchoogin (?), 18:13 , 27-Дек-07, (68)   Пакетный фильтр вас не спасет при DOS-е службы Уж слишком низкий может оказатьс, Nikolay (??), 05:29 , 27-Дек-07, (41)   index php ещё, как правило, переживаемо А вот index pl может уже на 50 запр, Andrew Kolchoogin (?), 09:23 , 27-Дек-07, (45)   ОФФ Andrew Kolchoogin, респект за грамотную дискуссию Кое-что открыл для себ, Аноним (38), 10:17 , 27-Дек-07, (47)   Андрюша, хватит уже отвешивать себе комплименты с помощью виртуалов - смотреть п, гость (?), 12:16 , 27-Дек-07, (54)   Так и до дурки не далеко гоЗть - хорош трепаться - санитары идут , Ну а по те, Аноним (38), 18:05 , 27-Дек-07, (66)   Не надо наезжать на Perl, ибо связка mod_perl Apache дает очень хорошую произв, Antrew (??), 11:21 , 27-Дек-07, (52)   Упаси меня Ларри наезжать на Perl Просто PHP-интерпретатор легче перлового , Andrew Kolchoogin (?), 18:29 , 27-Дек-07, (71)   впику Вашей нелюбви к Netfilterпроблема DoS на вебсервис и границы синов далеки, Nick (??), 09:36 , 28-Дек-07, (99)   могу ошибаться -- но как мне думается тут и писать ничего не придётсяпроблему мо, pavel_simple (ok), 10:37 , 28-Дек-07, (102)   дописать модуль к тому же apache, чтоб он рулил этой политикой, тогда можно хоть, Аноним (-), 21:42 , 28-Дек-07, (109)   кроме апача источников нагрузки бывает немало, Nick (??), 23:40 , 30-Дек-07, (119)   Ой, и вы ЭТО называете красивым и элегантным решением Это же жуткий костыль Н, nuclight (?), 22:42 , 30-Дек-07, (118)   Угукому следует орагнизовывать схему - тот организовывает схему А кому следует н, Nick (??), 23:57 , 30-Дек-07, (120)   Наш новый гуру нам все объяснил Как же он смог подняться на такие высоты После , KdF (??), 15:17 , 27-Дек-07, (57) // Извините за оффтоп, но в 1110 такими выпадами похожи на журналиста желтой прес, Аноним (-), 17:36 , 27-Дек-07, (59) // Да хоть всё сразу Мне приятно ощущать свою уникальность в антиобщественности, Andrew Kolchoogin (?), 18:01 , 27-Дек-07, (64) Может быть я и есть журналист желтой прессы, откуда вам знать А завтра напишу ст, KdF (??), 21:02 , 27-Дек-07, (78) Кроме IT, в мире есть ещё много увлекательных наук Химия, например Или математ, Andrew Kolchoogin (?), 18:00 , 27-Дек-07, (63) KdF, спасибо посмеялся Гугл очень силен Хочется вериться, что Andrew Kolchoog, Mikhail (??), 17:01 , 27-Дек-07, (58) // Да, Гугль про меня много разного рассказывает Абсолютно Химия и физи, Andrew Kolchoogin (?), 18:03 , 27-Дек-07, (65) // Замечательная дискуссия Андрей - вопрос, если можно Где учат кошерной работе с, sash (??), 21:03 , 27-Дек-07, (79) // Да вот, здесь, на OpenNet е Если, конечно, отфильтровывать гон от дискуссий, Andrew Kolchoogin (?), 01:51 , 28-Дек-07, (93) И еще вопрос Вы действительно где-то используете RSVP , sash (??), 21:05 , 27-Дек-07, (80) // Нет, конечно , Andrew Kolchoogin (?), 01:51 , 28-Дек-07, (94) мда, виртуальные интерфейсы по прежнему не поддерживаются , yurii (??), 01:48 , 28-Дек-07, (92) // пардонпоясните что именно не поддерживается , Nick (??), 09:39 , 28-Дек-07, (100) // видимо он имел ввиду отсутствие возможности написать iptables -i eth1 1 , я (?), 13:09 , 09-Янв-08, (121) // а ну так это ж не отдельный интерфейс, и даже не виртуальный это просто labe, Nick (??), 15:54 , 09-Янв-08, (122) 4,6,20,57,58,92

Сообщения

[Сортировка по времени | RSS]

20. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
Сообщение от Аноним (38), 26-Дек-07, 17:53
пакетный фильтр в случае ДоС как раз и спасает, особенно pf с лимитами
Ответить | Правка | Наверх | Cообщить модератору

	23. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Andrew Kolchoogin (?), 26-Дек-07, 21:51
	>пакетный фильтр в случае ДоС как раз и спасает, >особенно pf с лимитами Особенно, когда DoS'ят Апач, вызывая динамический контент. Загрузка проца взлетает до 50-60, а лимиты всё ещё не исчерпаны. Ибо NAT'ы везде, и "задвигать" их сильно вниз некошерно.
	Ответить | Правка | Наверх | Cообщить модератору

	26. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Дохтур (?), 26-Дек-07, 22:17
	>Особенно, когда DoS'ят Апач, вызывая динамический контент. у нормальных людей опач работает бэкэндом. А такую паразитную активность весьма просто пресечь, ограничив число входящих SYN в ед. времени экспоненциально. Чуть более сложные меры вообще исключат подобный сценарий, оставив только возможность полностью забить канал входящим трафиком(но от этого никто не застрахован).
	Ответить | Правка | Наверх | Cообщить модератору

	34. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Andrew Kolchoogin (?), 27-Дек-07, 01:37
	>>Особенно, когда DoS'ят Апач, вызывая динамический контент. > у нормальных людей опач работает бэкэндом.     И что? Он от этого как-то сильно меньше CPU Time кушать начинает? > А такую паразитную активность весьма просто пресечь, ограничив число входящих SYN > в ед. времени экспоненциально.     Exponential Backoff в данном случае совершенно бесполезен, так как это лишь _одна из возможных реакций_ на активность с некоторого IP-адреса. Тупой сброс соединений -- это, если хотите, EB после предельного перехода. :)     Ну и что? Всё равно микропроцессор на Apache просядет. Как не выкручивайся. Потому, что не за'backoff'ить каждый конкретный IP без риска за'backoff'ить огромную сеть за NAT'ом.     А вот разговоры в ключе "ну и сами виноваты, пусть меняют провайдера" я считаю тупиковыми. > Чуть более сложные меры вообще исключат подобный сценарий, оставив только > возможность полностью забить канал входящим трафиком(но от этого никто не застрахован).     Почему, можно попытаться прогнуть апстрима на RSVP. :)))
	Ответить | Правка | Наверх | Cообщить модератору

	51. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Аноним (-), 27-Дек-07, 10:56
	>    И что? Он от этого как-то сильно меньше >CPU Time кушать начинает? Да с cpu time не проблема. Опач обычно в prefork гоняют, так что чаще упираешься в пямять. Да и кеширование на фронтенде решает ;)) >    Ну и что? Всё равно микропроцессор на Apache >просядет. Как не выкручивайся. Потому, что не за'backoff'ить каждый конкретный IP >без риска за'backoff'ить огромную сеть за NAT'ом. Имхо, слабый DoS должен никак не сказываться на работе сервиса. А что-то более заметное будет иметь вполне очевидный профиль. И, кстати, борьба с DoS - это всегда компромисс и риск false positives. >    А вот разговоры в ключе "ну и сами >виноваты, пусть меняют провайдера" я считаю тупиковыми. +1 PS: спасибо за адекватную и достаточно сдержанную дискуссию.
	Ответить | Правка | Наверх | Cообщить модератору

	68. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Andrew Kolchoogin (?), 27-Дек-07, 18:13
	>> И что? Он от этого как-то сильно меньше CPU Time кушать начинает? > Да с cpu time не проблема. Опач обычно в prefork гоняют, так > что чаще упираешься в пямять.     Согласен. > Да и кеширование на фронтенде решает ;))     Далеко не всегда.     В большинстве случаев, с которыми мне приходилось встречаться, Web-код написан, прямо скажем, не очень хорошо. Не сказать жёстче: руки бы повырывать. ;) И "агрессивное" кэширование приводит к появлению stale pages. А "кооперативное" кэширование на фронтэнде при помощи какого-нибудь memcached ещё в Web-код встраивать надо, а в плохой код его встроить просто невозможно. > Имхо, слабый DoS должен никак не сказываться на работе сервиса. А что-то > более заметное будет иметь вполне очевидный профиль. И, кстати, борьба с > DoS - это всегда компромисс и риск false positives.     Равно, как и борьба со спамом. Подписываюсь под каждым словом.
	Ответить | Правка | Наверх | Cообщить модератору

	41. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Nikolay (??), 27-Дек-07, 05:29
	Пакетный фильтр вас не спасет при DOS-е службы. Уж слишком низкий может оказаться порог для дос аткаки. Обычный index.php какого-нибудь треклятого форумного движка может быть целеноправленно атакован сравнительно небольшим количеством запросом и ваш фильтр даже не сможет выделить эти аномалии из фона, а апач будет буксовать глотая последние мегабайты свопа.
	Ответить | Правка | К родителю #26 | Наверх | Cообщить модератору

	45. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Andrew Kolchoogin (?), 27-Дек-07, 09:23
	> Обычный index.php какого-нибудь треклятого форумного движка     index.php ещё, как правило, переживаемо. А вот index.pl может уже на 50 запросах/сек ТА-А-А-АК раскорячить Apache... :)
	Ответить | Правка | Наверх | Cообщить модератору

	47. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Аноним (38), 27-Дек-07, 10:17
	ОФФ: Andrew Kolchoogin, респект за грамотную дискуссию. Кое-что "открыл" для себя, что следовало бы знать уже лет 8 как, чьорт побьери. Век живи - век учись! :-) Побольше бы таких участников конференций. Может, и с квалификацией кадров получше стало бы? :-) PS Просьба не обращать внимания на профессиональных флеймогонов - это единственное, что они знают толком.
	Ответить | Правка | Наверх | Cообщить модератору

	54. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от гость (?), 27-Дек-07, 12:16
	>ОФФ: Andrew Kolchoogin, респект за грамотную дискуссию. Кое-что "открыл" для себя, что >следовало бы знать уже лет 8 как, чьорт побьери. Век живи >- век учись! :-) >Побольше бы таких участников конференций. Может, и с квалификацией кадров получше стало >бы? :-) >PS Просьба не обращать внимания на профессиональных флеймогонов - это единственное, что >они знают толком. Андрюша, хватит уже отвешивать себе комплименты с помощью виртуалов - смотреть противно! Так и до дурки не далеко...
	Ответить | Правка | Наверх | Cообщить модератору

	66. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Аноним (38), 27-Дек-07, 18:05
	>Андрюша, хватит уже отвешивать себе комплименты с помощью виртуалов - смотреть противно! Так и до дурки не далеко... гоЗть - хорош трепаться - санитары идут! ,) Ну а по теме - молодец Андрей. А ты - ламо ,) Причем знаешь об этом от того и сопли-слюни агресивность ,)
	Ответить | Правка | Наверх | Cообщить модератору

	52. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Antrew (??), 27-Дек-07, 11:21
	>> Обычный index.php какого-нибудь треклятого форумного движка > >    index.php ещё, как правило, переживаемо. А вот index.pl >может уже на 50 запросах/сек ТА-А-А-АК раскорячить Apache... :) Не надо наезжать на Perl, ибо связка mod_perl + Apache дает очень хорошую производительность.
	Ответить | Правка | К родителю #45 | Наверх | Cообщить модератору

	71. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Andrew Kolchoogin (?), 27-Дек-07, 18:29
	> Не надо наезжать на Perl, ибо связка mod_perl + Apache дает очень > хорошую производительность.     Упаси меня Ларри наезжать на Perl. Просто PHP-интерпретатор легче перлового.
	Ответить | Правка | Наверх | Cообщить модератору

	99. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Nick (??), 28-Дек-07, 09:36
	впику Вашей нелюбви к Netfilter проблема: DoS на вебсервис и границы синов далеки до реакции, а апач, как выше выразилиьсь, доедает своп... Что делать BSD админу - неизвестно. А вот в Линухе проблема имеет вид даже некоторого решения. Пишеться модуль, который в зависимости от нагрузки на CPU и/или винта и/или память, принимает или дропает пакет, собирается для текущего ядра и загружается в него. Аналогичный модуль-собрат пишется и для user-level iptables тулзы. Все границы/лимиты задаются параметрами этого user-level модуля из команды iptables. Зависимость на род нагрузки исчезает. Это может быть сколь угодно плохой и неоптимальный пользовательский код. В результате: можно вести разговор о дропе новых соединений, если загрузка системы и/или этих 3-х подсистем выше заданной. А также, совмещать эти лимиты с другими сетевыми ограничениями. На практике получается более чем красивое и элегантное решение. Например: в зависимости от нагрузки (уровни нагрузки: 5-10, 10-20, 20-30...) регулируется количество одновременных коннектов из /24 сетки (например: 50, 30, 10...). И даже глубина битности измеряемых сетей: /24, /25, /26.... В результате имеем более равномерное распределение мощностей системы между клиентами в условиях DoS'a. Чем бы порадовал PF?
	Ответить | Правка | К родителю #45 | Наверх | Cообщить модератору

	102. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от pavel_simple (ok), 28-Дек-07, 10:37
	могу ошибаться -- но как мне думается тут и писать ничего не придётся проблему можно будет решить например так несколько recent (в зависимости от нагрузки) соответственным образом помечают пакет (-j MARK) а потом в зависимости от марки используем limit
	Ответить | Правка | Наверх | Cообщить модератору

	109. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Аноним (-), 28-Дек-07, 21:42
	дописать модуль к тому же apache, чтоб он рулил этой политикой, тогда можно хоть электрическим реле провода размыкать. это ниразу не дело ядра.
	Ответить | Правка | К родителю #99 | Наверх | Cообщить модератору

	119. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Nick (??), 30-Дек-07, 23:40
	кроме апача источников нагрузки бывает немало
	Ответить | Правка | Наверх | Cообщить модератору

	118. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от nuclight (?), 30-Дек-07, 22:42
	Ой, и вы ЭТО называете красивым и элегантным решением?! Это же жуткий костыль. Начать с того, что следует организовывать вообще схему фронтенд/бэкенд (необязательно на одной машине). Если уж у вас такие DoS'ы, с которыми справляется ядро. Далее, писать модуль ядра для отслеживания загрузки чего-то в юзерлэнде - это криво. Такие вещи следует в юзерлэнде же и отрабатывать, выдавая команду файрволу, который, кстати, может находиться на другой машине, равно как и анализатор (на сервере же только датчики). В ядре отслеживать, что конкретно не нравится процессу - слишком сложно. Наконец, когда решением предлагается _написать_ модуль ядра (!) - тут уже лицемерно говорить, что в одной ОСи это можно сделать, в другой нет - специалист, на такое способный, сделает для любой, средства есть. Другое дело, что это может быть невозможно даже при наличии специалиста - например, когда ДДОСили bash.org.ru, они не имели возможность поменять на машине netfilter на nf-hipac - тупо из-за VDS (решили доморощенным аналогом). Да, хостер был плохой (потом сменили), да, отслеживание и перекрытие DoS'ов вообще задача хостера, ну вот такие были условия, что поделать... Отсюда, кстати, видно, что предложенный к написанию модуль тем более хуже - сыграет на руку DDoS'у, дропая, возможно, вполне легитимные коннекты - не те критерии ибо.
	Ответить | Правка | К родителю #99 | Наверх | Cообщить модератору

	120. "Новая версия пакетного фильтра для Linux - iptables 1.4.0"	+/–
	Сообщение от Nick (??), 30-Дек-07, 23:57
	>Ой, и вы ЭТО называете красивым и элегантным решением?! Угу >Это же жуткий >костыль. Начать с того, что следует организовывать вообще схему фронтенд/бэкенд (необязательно >на одной машине). Если уж у вас такие DoS'ы, с которыми >справляется ядро. кому следует орагнизовывать схему - тот организовывает схему. А кому следует не принимать новый запрос в систему если загрузка выше нормы - тот не принимает запрос. >Далее, писать модуль ядра для отслеживания загрузки чего-то в юзерлэнде - это >криво. загрузка системы пока что понятие одно на систему. А не на ядро или на юзерлевел. "загрузки чего-то в юзерлэнде" звучит неразумно. >Такие вещи следует в юзерлэнде же и отрабатывать, вообще неразумно. Управлять user-level'ом из него же - ненадежно. >выдавая команду файрволу, который, кстати, может находиться на другой машине, равно как и >анализатор (на сервере же только датчики). о какой команде ФАЕРВОЛУ идет речь? Мне кажеться Вы не уловили суть в принципе... >В ядре отслеживать, что конкретно >не нравится процессу - слишком сложно. :)) улыбнуло. Вообще-то это и есть задача ядра: отслеживать все что кому нравится и что нет. Наиболее эффективно управлять как минимум траффиком и процессами - из ядра. >Наконец, когда решением предлагается _написать_ модуль ядра (!) - тут уже лицемерно >говорить, что в одной ОСи это можно сделать, в другой нет предполагается отсутствие даунтайма на загрузкку нового ядра. Netfiler модуль вставляется находу. Если PF умеет это же - тогда все описанное может и он. Собственно, в этом был вопрос. >- специалист, на такое способный, сделает для любой, средства есть. неспециалист сидит дома или учится >Другое дело, что это может быть невозможно даже при наличии специалиста - >например, когда ДДОСили bash.org.ru, они не имели возможность поменять на машине >netfilter на nf-hipac - тупо из-за VDS (решили доморощенным аналогом). >Да, хостер был плохой (потом сменили), да, отслеживание и перекрытие DoS'ов вообще задача хостера дык, под такой проект, ессьно, нужен лишь выделенный сервер с возможностью менять в системе по желанию что угодно. >Отсюда, кстати, видно, что предложенный к написанию модуль тем более хуже - >сыграет на руку DDoS'у, дропая, возможно, вполне легитимные коннекты - не >те критерии ибо. расширьте сознание. Предлагаемый модуль НЕ дропает ничего. Он умеет отслеживать загрузку. И именно в связке с другими методами ограничения дает неплохие результаты.
	Ответить | Правка | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема