* [Sysadmins] SYN flood
@ 2008-01-12 21:16 Dmitriy Shadrinov
2008-01-12 21:58 ` Konstantin A. Lepikhov
0 siblings, 1 reply; 4+ messages in thread
From: Dmitriy Shadrinov @ 2008-01-12 21:16 UTC (permalink / raw)
To: ALT Linux sysadmin discuss
Здравствуйте!
Возникла вот такая интересная ситуация: идет DoS-атака SYN-flood на 80 порт. О
чем свидетельствую записи в dmesg:
...
possible SYN flooding on port 80. Sending cookies.
possible SYN flooding on port 80. Sending cookies.
possible SYN flooding on port 80. Sending cookies.
possible SYN flooding on port 80. Sending cookies.
...
такие записей много, параметры ядра в отношении SYS-cookies:
[root@gw ~]# sysctl net.ipv4.tcp_syncookies
net.ipv4.tcp_syncookies = 1
Однако, несмотря на то что куки включены и 'Sending cookies'
положительного эффекта это не оказывает - Apache практически недоступен, сайт
хоть и откывается, но ждать приходится очень долго (до минуты), остальные
сервисы доступны.
Ядро: 2.6.18-std-smp-alt6
Заблокировать атакующего не вижу возможности: он использует произвольный
IP-адрес на каждый SYN-пакет.
Может быть у меня что-то недонастроено? Нет ли у кого мыслей?
Заранее благодарен.
Вопрос актуален в любом случае, у злодея периодически рождается идея
по'DoS'ить Apache.
^ permalink raw reply [flat|nested] 4+ messages in thread
* Re: [Sysadmins] SYN flood
2008-01-12 21:16 [Sysadmins] SYN flood Dmitriy Shadrinov
@ 2008-01-12 21:58 ` Konstantin A. Lepikhov
2008-01-12 22:41 ` Dmitriy Shadrinov
0 siblings, 1 reply; 4+ messages in thread
From: Konstantin A. Lepikhov @ 2008-01-12 21:58 UTC (permalink / raw)
To: ALT Linux sysadmin discuss
Hi Dmitriy!
Sunday 13, at 12:16:34 AM you wrote:
> Здравствуйте!
> Возникла вот такая интересная ситуация: идет DoS-атака SYN-flood на 80 порт. О
> чем свидетельствую записи в dmesg:
>
> ...
> possible SYN flooding on port 80. Sending cookies.
> possible SYN flooding on port 80. Sending cookies.
> possible SYN flooding on port 80. Sending cookies.
> possible SYN flooding on port 80. Sending cookies.
> ...
>
> такие записей много, параметры ядра в отношении SYS-cookies:
>
> [root@gw ~]# sysctl net.ipv4.tcp_syncookies
> net.ipv4.tcp_syncookies = 1
>
> Однако, несмотря на то что куки включены и 'Sending cookies'
> положительного эффекта это не оказывает - Apache практически недоступен, сайт
> хоть и откывается, но ждать приходится очень долго (до минуты), остальные
> сервисы доступны.
>
> Ядро: 2.6.18-std-smp-alt6
>
> Заблокировать атакующего не вижу возможности: он использует произвольный
> IP-адрес на каждый SYN-пакет.
>
> Может быть у меня что-то недонастроено? Нет ли у кого мыслей?
> Заранее благодарен.
>
> Вопрос актуален в любом случае, у злодея периодически рождается идея
> по'DoS'ить Apache.
жалуйтесь провадеру, пусть фильтрует гада на backbone, если конечно это
настоящий провайдер а не перекупщик.
--
WBR et al.
^ permalink raw reply [flat|nested] 4+ messages in thread
* Re: [Sysadmins] SYN flood
2008-01-12 21:58 ` Konstantin A. Lepikhov
@ 2008-01-12 22:41 ` Dmitriy Shadrinov
2008-01-13 19:11 ` Konstantin A. Lepikhov
0 siblings, 1 reply; 4+ messages in thread
From: Dmitriy Shadrinov @ 2008-01-12 22:41 UTC (permalink / raw)
To: ALT Linux sysadmin discuss
13 January 2008, Konstantin A. Lepikhov написал:
> жалуйтесь провадеру, пусть фильтрует гада на backbone, если конечно это
> настоящий провайдер а не перекупщик.
Видимо прийдется, раз уж других способов нет.
Но получается, SYN-cookies неэффективны? Или это просто такой особый случай?
^ permalink raw reply [flat|nested] 4+ messages in thread
* Re: [Sysadmins] SYN flood
2008-01-12 22:41 ` Dmitriy Shadrinov
@ 2008-01-13 19:11 ` Konstantin A. Lepikhov
0 siblings, 0 replies; 4+ messages in thread
From: Konstantin A. Lepikhov @ 2008-01-13 19:11 UTC (permalink / raw)
To: ALT Linux sysadmin discuss
Hi Dmitriy!
Sunday 13, at 01:41:20 AM you wrote:
> 13 January 2008, Konstantin A. Lepikhov написал:
>
> > жалуйтесь провадеру, пусть фильтрует гада на backbone, если конечно это
> > настоящий провайдер а не перекупщик.
>
> Видимо прийдется, раз уж других способов нет.
> Но получается, SYN-cookies неэффективны? Или это просто такой особый случай?
можно просмолить пробоину, а можно встать в сухой док. Все зависит от
степени повреждения ;)
--
WBR et al.
^ permalink raw reply [flat|nested] 4+ messages in thread
end of thread, other threads:[~2008-01-13 19:11 UTC | newest]
Thread overview: 4+ messages (download: mbox.gz / follow: Atom feed)
-- links below jump to the message on this page --
2008-01-12 21:16 [Sysadmins] SYN flood Dmitriy Shadrinov
2008-01-12 21:58 ` Konstantin A. Lepikhov
2008-01-12 22:41 ` Dmitriy Shadrinov
2008-01-13 19:11 ` Konstantin A. Lepikhov
ALT Linux sysadmins discussion
This inbox may be cloned and mirrored by anyone:
git clone --mirror http://lore.altlinux.org/sysadmins/0 sysadmins/git/0.git
# If you have public-inbox 1.1+ installed, you may
# initialize and index your mirror using the following commands:
public-inbox-init -V2 sysadmins sysadmins/ http://lore.altlinux.org/sysadmins \
sysadmins@lists.altlinux.org sysadmins@lists.altlinux.ru sysadmins@lists.altlinux.com
public-inbox-index sysadmins
Example config snippet for mirrors.
Newsgroup available over NNTP:
nntp://lore.altlinux.org/org.altlinux.lists.sysadmins
AGPL code for this site: git clone https://public-inbox.org/public-inbox.git