защита от ddos
Борьба с DDoS-атаками — работа не только сложная, но и увлекательная. Неудивительно, что каждый сисадмин первым делом пытается организовать оборону своими силами — тем более что пока еще это возможно. Узнайте что такое защита от ddos на нашем сайте.
Мы приняли решение посодействовать для вас в данном тяжелом деле и опубликовать некоторое количество кратких, очевидных и не универсальных рекомендаций по обороне вашего вебсайта от атак. Приведенные рецепты не несомненно помогут для вас преодолеть с всякий атакой, но от большинства угроз они вас уберегут.
Верные компоненты
Грозная не все такая, собственно что почти все веб-сайты имеет возможность положить всякий желающий, воспользовавшись атакой Slowloris, наглухо убивающей Apache, или же устроив например именуемый SYN-флуд с поддержкой фермы виртуальных серверов, поднятых за минутку в облаке Amazon EC2. Все наши последующие рекомендации по обороне от DDoS собственными силами базируются на надлежащих весомых критериях.
1. Отречься от Windows Server
Практика дает подсказку, собственно что вебсайт, который трудится на винде (2003 или же 2008 — неважно), в случае DDoS обречен. Первопричина беды скрывается в виндовом сетевом стеке: когда соединений делается довольно большое количество, то сервер безусловно начинает дурно отвечать. Мы не знаем, отчего Windows Server в этих обстановках трудится так отвратительно, но сталкивались с данным не один и не два. По данной основанию речь в предоставленной заметке станет подходить о средствах обороны от DDoS-атак в случае, когда сервер вертится на Linux. В случае если вы блаженный владелец сравнительно передового ядра (начиная с 2.6), то в качестве изначального инвентаря станут играть утилиты iptables и ipset (для скорого прибавления IP-адресов), с поддержкой коих возможно практически сразу забанить роботов. Ещё раз источник к удаче — верно приготовленный сетевой стек, о чем мы еще станем болтать дальше.
Второе важное условие — отказ от Apache. Если у вас, не ровен час, стоит Apache, то как минимум поставьте перед ним кеширующий прокси — nginx или lighttpd. Посмотрите защита ataka на нашем портале. Apache’у крайне тяжело отдавать файлы, и, что еще хуже, он на фундаментальном уровне (то есть неисправимо) уязвим для опаснейшей атаки Slowloris, позволяющей завалить сервер чуть ли не с мобильного телефона. Для борьбы с различными видами Slowloris пользователи Apache придумали сначала патч Anti-slowloris.diff, потом mod_noloris, затем mod_antiloris, mod_limitipconn, mod_reqtimeout… На нашем веб-сайте ddosforum.com Вы можете узнать об этом подробнее.
