само собой, только такие серверы никто не и не ддосит напрямую, ддос обычно направлен или на открытые сервисы, вроде веб сайтов, либо на поддерживающую инфраструктуру - DNS например

авторизация != регистрации на форуме, а тем более логину в системе. Юзеру ничего не нужно никуда вводить. А серверу достаточно просто запомнить этого юзера по каким-нибудь характеристикам. IP например (но не только конечно).

Что до DNS, то зачем ваш DNS обрабатывает ВСЁ и СРАЗУ? Они же иерархические, и глупо будет, если ступень иерархии не та. Такой запрос конечно тоже можно обработать, но зачем это делать сразу? Отложите, потом обработаете. Это не срочно. Или DDoS локализован внутри зоны ответственности? Какой же это тогда DDoS?

это вы не у того спрашиваете. Я откуда знаю? Спросите у тамошних админов. Причина обычно банальна -- жадность. Нагрузка слишком большая, а денег на развитие выделять не хотят.

то, что вы понятия не имеете об алгоритмах -- я уже понял. Поясняю: поиск одного из тысяч IP занимает небольшое время, и зависит логарифмически от количества записей. Да, бытовой роутер с такой задачей может и не справится, но даже PC справится легко. Даже 15и летней PC, которому пора на помойку. Понятие "запрос" -- совсем другое. Это вот если вы заходите на вебсервер, а он специально для вас динамическую картинку создаёт, и вам отправляет. Вот это действительно долго. Или запрос к СУБД тоже долго. А проверить 10000000 IP -- не долго. Да и нет их столько. Их всего 4294967296, что даже для древнего железа -- не вопрос.  Ну и не нужно столько помнить, если юзера нет N минут, про него можно забыть.

не, я про коребизнос действительно  не знаю. Интересно было почитать. А ещё можно? А то в вике действительно маловато, и в духе К.О.

то данных мало, то все ожидаемо, вы уж решите

а я уже всё решил, проблема на вашей стороне. Это вам нужен железный фаервол.

а зачем вы обрабатываете ВСЕ запросы? Обрабатывайте не более одного нового запроса в секунду, какая разница? Атака-то у нас распределённая, а стало быть все атакующие с разными IP. А все хорошие -- с известным(серверу) IP.

я как раз им ничего не скажу, и их быдлокод юзать не стану. И другим не посоветую.

у меня всё по-русски. В интерфейсах. А каша -- у вас. Раз даже ваши инструменты на неродном для вас языке. Жалеть нужно вас...

ну то вам с вашего маздая не видать. Вы же ничего дальше своего носа. На пример вы не понимаете, что клиентские компьютеры == часть серверной инфраструктуры. Особая, но таки -- часть. И то, как работает вся сеть, зависит совсем не только и не столько от серверов. Откуда вы думаете берутся эти ваши DDoSы? Из параллельного мира? Неа, с этой вашей отмирающей венды с варезными фотошопами. Потому и умирает, ибо юзеру не нравится, что ему на нужные сайты не попасть. А не попасть потому-что блочат. А блочат потому-что юзер юзает вредоносное ПО, а юзает он потому, что не хочет платить за бесплатное. Потому-то и кормит ботнеты.

а почему Я этим должен заниматься? Я на этот развод не ведусь. Я вам объясняю, что это развод. Вы же не купите телефон Nokea? Почему? Разве от надписи он работать будет хуже? Внезапно: да, будет. Вы будете отправлять багрепорт дядюшке Ляо?

делить на ноль нельзя.

кто говорит "нужен"? Это ваша фантазия. Достаточно зайти на сайт фрилансеров, и там любой русский студент за $10 сделает вчитку.

Да уважаемый, мы живём в 21ом веке, найти русского студента, которому нужно $10 можно не выходя из офиса в Техасе.

спрашивайте правильно. На будущее: никогда не давите собеседника непонятными вам сокращениями. Собеседнику будет либо смешно на вас, либо грустно. И относится он к вам будет плохо(в любом случае, особенно, если знает, что такое PKI)

в том то и дело что не валят, потому что авторизированные. сервер спокойно обрабатывает информацию, защита не нужна в данном случае вообще - PKI все обеспечивает.

ну вот видите, как оно всё хорошо с авторизацией? А что у вас так всё плохо?

какая разница, сколько железок? Сервер один, а на скольких он железках -- дело десятое. Может на этой железке ещё куча серверов?

Ну да, ещё одно модное словечко. Которое слабо относится к теме разговора. CDN-то тут причём? Да ещё и "распределённая". А бывают не распределённые? Расскажите? И то и другое конечно к сабжу не относится, но мне всё равно интересно...

эгей, модераторы, всю пустую брехню drBatty до этого поста можно тереть!

Да подожди, только кофе себе налил, читаю, ржу, сначала смысл хоть какой-то был...
... булочные, ведокопец и коребизнесс ... эта пять!

вот какой бред жеж вы пишете! "Внутри PKI" может хоть plain text идти, какая разница-то? При чём тут вообще DoS? Вас валят ваши-же авторизированные клиенты внутри PKI? Или вы про что ваще? Мне так кажется, просто знакомые слова перебираете, pki, облака, фаервол... Это вы их на собеседовании перебирайте.

в том то и дело что не валят, потому что авторизированные. сервер спокойно обрабатывает информацию, защита не нужна в данном случае вообще - PKI все обеспечивает.

никакой. ну серьезно, такое ощущение что вы не слышали о решениях на более чем одной единственной железке.

конечно. "левая железяка" это девайс заточенный именно под защиту, он ничего другого не умеет. а облако позволяет поднять еще стотыщпяццот таких же серверов, с распределенной нагрузкой, которая легко справится с любым ddos-ом. не хотите облако - читайте "распределенный CDN" - я и сам слово "облако" которое сейчас пихают куда ни попадя недолюбливаю

то данных мало, то все ожидаемо, вы уж решите

все ждали когда же вы появитесь и спасете их от гнета неграмотных веб дизайнеров

мне хватает разнообразия синтаксов и интерфейсов, если еще и все это на разных языках - конечно в голове будет каша

ну скажем первый путь, хоть лично мне и не по душе, но жизнеспособность свою продолжает доказывать, вендокапца все никак не видать, несмотря на постоянные глупости которые делают мелкомягкие.

оки, я не вижу проблемы. вы увидели ошибку - вместо того чтоб сразу же делать из этого абсолютно нерелевантные выводы, надо было просто послать им багрепорт. корявый перевод сайта не может иметь отношение к сервису который предлагает фирма, если конечно фирма не продает локализации сайтов.

а можно немного более развернуто, где тут моя позиция всплыла? я считаю что сервер должен выполнять свою задачу, а не выполнять вообще все задачи, не больше, не меньше.

очень много букв, без единого аргумента. по существу как не было что сказать, так и не появилось. а я надеялся на адекватную дискуссию, может быть даже узнать что нибудь новое для себя, но увы...

там как то очень сжато, в основном о процессе а не о понятии. но суть тут проста - булочная должна печь булки, а не разрабатывать софт. Только очень большие и богатые фирмы держат собственных дизайнеров, а там где сайт нужно один раз написать, и раз в полгода, может быть, чего то обновить - штатный веб дизайнер не нужен.
ну а то как "красиво" хорошие программисты делают сайты и UI сами, можно увидеть в любом дистре линукса

ну я думаю что понятно что защищаем мы сервер обслуживающий протокол Х от атак по протоколу Х, вдаваться в защиту инфраструктуры можно будет когда разберем азы, договорились?

именно об этом я и говорю! теперь продолжаем мысль - атака идет, запросы обрабатываются, и их количество доходит до такого уровня когда сервер просто не способен принять и обработать легитимные запросы, которые просто теряются в общем потоке мусора - обработать ведь надо всех.

само собой, только такие серверы никто не и не ддосит напрямую, ддос обычно направлен или на открытые сервисы, вроде веб сайтов, либо на поддерживающую инфраструктуру - DNS например

интересно, вон сайт ЖЖ постоянно валят ддосами, что ж они не додумались?

чтоб "помнить" нужно принимать коннекты и сравнивать с таблицей "хороших", это уже обработка запроса, как эффективно бы эта таблица не хранилась бы.
ну скажем запустили мы какой нибудь fail2ban, но атака идет с сотни тысяч айпи, это ж ему бедняге надо каждый раз пробегаться по сотне тысяч записей в iptables чтоб сделать drop? На обработку легитимных запросов такое не повлияет? Подозреваю что очень даже.

именно поэтому сервер должен получать легитимные запросы, уже обработанные системой защиты. хотя в наше просвещенное время, канал просто защищается PKI, внутри которого уже идет обычный xmlrpc или json.

вот какой бред жеж вы пишете! "Внутри PKI" может хоть plain text идти, какая разница-то? При чём тут вообще DoS? Вас валят ваши-же авторизированные клиенты внутри PKI? Или вы про что ваще? Мне так кажется, просто знакомые слова перебираете, pki, облака, фаервол... Это вы их на собеседовании перебирайте.

о да, конечно. Действительно, какое отношение защита сервера имеет к серверу?!

И конечно, левая железяка/облако лучше знает, что этому серверу нужно, а что не нужно.

я-то ещё ничего не предложил. Потому-что данных мало. Это вы предлагаете какую-то ерунду. Вот уже и до PKI с json'а дошли... Ожидаемо.

почему-же им за это даже не донатят? Почему не нашлось никакого благодарного юзера, который найдёт и исправит ошибку?

зачем меня жалеть? Разве плохо, когда система умеет работать с родным для меня языком? ЧЯДНТ?

Вы так ничего и не поняли. Есть два пути сделать хорошую ОС:

1. Windwos way, это когда мы просто делаем хорошую систему, а потом продаём.

2. Linux way, это когда мы делаем хоть какую-то систему, и не продаём её, а выкладываем её в свободный доступ, что-бы её мог взять и допиливать кто угодно.

Так вот первый путь, это тупик. Ибо даже если продавец наймёт хороших кодеров, и они напишут всё хорошо, то условия изменяться, но продавцу намного выгоднее сделать вид, что ничего не меняется. Ну например, что "переключать раскладку удобно CTRL+ALT или CTRL+SHIFT и никак иначе. Не нравится? Учи английский, быдло!"

Конечно, второй путь тоже не идеален, но это хотя-бы не тупик. Если нет (или есть плохая) локализации, её ведь можно сделать(исправить), так? Такой ляп как на сайте может исправить любой носитель русского, для этого не нужно быть лингвистом или программистом. Для того, что-бы отправить багрепорт -- тоже (единственное, надо немного английский тоже знать).

именно этим. Ваша позиция -- позиция типичного пользователя Windows OS. Она ущербна и глупа. И не нужно обижаться на правду.

не, это не риторика. И не каша. Каша она у вас, ибо вы в вопросе совершенно не разбираетесь. И потому, аргументов у меня нет технических. Ибо ваши "решения" попросту бессмысленны. Сплошное деление на ноль. Что тут спорить?

нет. Вот, нагуглил: http://en.wikipedia.org/wiki/Core_business
Оно?

уже перенесли.

разница громадная, и определяющая. Потому-что для фильтрации атаки, нужно хотя-бы знать, ЧТО атакуется. Очевидно, что ftp сервер нет никакой нужды защищать от атак по http, он этой атаки просто не увидит. Нельзя увидеть то, чего нет.

для этого необходимо, что-бы запросы были НЕОТЛИЧИМЫ от полезных. Так и делается. И в принципе есть только один способ отличить полезный запрос от бесполезного -- его обработать. Сервером.

И если это сервер с авторизацией, то сделать это не сложно. Достаточно просто запретить авторизацию очень часто, скажем чаще, чем 1 раз в секунду. И всё. Так вы никакой сервер не завалите, даже если у вас "сервер" это старенький нетбук. Легальные пользователи этого даже не заметят, ибо никому не нужно регится чаще, чем 1 раз в секунду.

DDoS'ить можно только сервера без авторизации, а таких очень мало. Вот мне и интересно, вы про что сейчас?

сделать авторизацию. Очевидно жеж. А если вас кто-то ддосит, то его просто заблокировать. И атака захлебнётся.

Просто сам сервер помнит, какие именно IP сейчас "хорошие", и обрабатывает ТОЛЬКО запросы оттуда. Остальные IP сервер игнорирует, и обрабатывает только иногда (там может быть запрос на авторизацию, но они бывают очень редко, и обрабатывать его не нужно срочно).

что-бы ему обслуживать штатные запросы, ему нужно и нештатные уметь как-то фильтровать. Это очевидно жеж. Или вы думаете, что злоумышленники идиоты, и в каждый вредоносный пакет маркируют специальным образом?
Нет, они не идиоты. И потому вредоносные пакеты совершенно НЕОТЛИЧИМЫ от полезных. Никак. В этом ТЗ злоумышленника. ТЗ разработчика систем защиты -- уметь отличать одни от других. Это борьба брони и снаряда.

именно поэтому сервер должен получать легитимные запросы, уже обработанные системой защиты. хотя в наше просвещенное время, канал просто защищается PKI, внутри которого уже идет обычный xmlrpc или json.

борьба брони и снаряда происходит на другом уровне, и защищаемого сервера касаться не должна.

нет, вы предлагаете мне прикрываться собственной шапочкой из фольги, и пытаетесь доказать что это лучше чем бункер - ведь она прямо на мне, а не отдельно.

ладно, хорошо, они нищеброды. только от ddos-в хорошо защищают

я бы пожалел, но вы не оцените...

обязательно скажу и тем и другим

и он наверняка идеально локализован на нескольких сотнях языков нашей планеты? а то ведь не русским единым...

наш маздай?! это каким местом?

...меня особо радует как вы умудряетесь приплести вообще никак не относящиеся к разговору вещи, и внезапно они еще и мои, и потом внезапно "без вариантов". Скажите, это у вас такой оригинальным реторический метод, или просто каша в голове?

хехе, весело однако вы слышали о таком понятии как core business?

эгей, модераторы, всю пустую брехню drBatty до этого поста можно тереть!

разговор шел о ddos. для простоты задачи можно не вдаваться, и определить некий сферический сервер в вакууме, получающий стандартные запросы по стандартному протоколу, обрабатывающий их, и возвращающий ответы. какая на самом деле разница будет это http, ftp или вообще какой нибудь REST.

сферические же атаки типа ddos, обращаются к нашему сервису очень много, очень часто и с большого количества разных адресов, с целью загрузить сервер левыми запросами до такой степени чтоб он не смог отвечать на легитимные запросы. причем у атакуещего ботнета достаточно хостов чтоб сгенерировать трафик превышающий существующий канал.

если нет возражений, расскажите мне пожалуйста, как вы обезопасите одну единственную машинку от такой атаки стандартными средствами linux

сервер должен обслуживать штатные запросы, для этого он существует

что-бы ему обслуживать штатные запросы, ему нужно и нештатные уметь как-то фильтровать. Это очевидно жеж. Или вы думаете, что злоумышленники идиоты, и в каждый вредоносный пакет маркируют специальным образом?

Нет, они не идиоты. И потому вредоносные пакеты совершенно НЕОТЛИЧИМЫ от полезных. Никак. В этом ТЗ злоумышленника. ТЗ разработчика систем защиты -- уметь отличать одни от других. Это борьба брони и снаряда.

свой бункер на случай атомной войны тоже накладно держать. Но иначе в атомной войне не выжить. А вы предлагаете шапочки из фольги за $39, для защиты от ядерной атаки. А я вам объясняю, что вас обманывают.

раз "схалтурили", значит им мало заплатили, или вообще не заплатили. Что многое объясняет. Это явно машинный перевод, т.е. бесплатный. Т.е. -- нищебродский.

а у меня всё на русском, за исключением документации. Я могу позволить себе такую роскошь. Завидуйте.

"вон из профессии" скажите не тем, кто делает плохо потому-что не умеет, а тем, кто делает плохо, потому-что не может.

И да, если хотите таки увидеть продукт, который хорошо локализован, протрите глаза, и посмотрите на Slackware Linux.

А ваш маздай -- увы и ах... Не осилили. Потому-что руки из задницы. И локализация -- это отличный детектор [CENSORED]. Если её нет, то это ничего не значит, а если она таки есть, но кривая, то очевидно, что это быдлокод. Без вариантов.

хм, а если вы придёте лечится к доктору, и выяснится, что он работает между двумя помойными бачками на улице? Вы будете у такого "доктора" лечится? А может он чудо-снадобье разработал?

Нет. Если-бы вправду разработал, у него была-бы своя клиника СБИШ. И не одна.

да.

дык давайте сначала определим, КАКОЙ сервер, КАКИЕ атаки, ОТКУДА?

А "лекарство от всех болезней" как и "железный фаервол защищающий от всех атак" == пустобрёхство. Как вы и правильно написали.

вы вообще понимаете, что такое DoS? Это и есть "использование сервера не по назначению". И заниматься защитой от него должен в первую очередь сам сервер, а уж во вторю -- какие-то "экраны".

сервер должен обслуживать штатные запросы, для этого он существует. серьезный DDoS не выдержит ни один, даже самый настроенный сервер, со всеми возможными и невозможными на(д)стройками. один единственный файрволл тоже недолго протянет, поэтому надо, если ожидаются такие атаки, иметь возможность быстро и лего расширяться. Свой ДЦ ради разовых пиковых нагрузок держать накладно.

полагаю. я вот тоже сайт построить смогу еле-еле, зато сервер под него настроить могу вполне прилично. Я думаю эти ребята, как и все, не строили свой сайт а заказали его какому нибудь вебдизайнеру, а те схалтурили.

у меня все на английском

вот тут полностью согласен. я еще не видел ни одного продукта в ИТ который был бы хорошо локализован, все должно быть на английском, раз уж эта отрасль на нем выросла и развилась, и те кто не хотят освоить этот язык - вон из профессии.

а выводов тут никаких нет - вебдизайнер схалтурил, что ничего не говорит о качестве решения которое фирма разрабатывает

см. выше.

то есть все написанное выше было пустобрехством? тогда давайте послушаем рекомендации, а вдруг окажется лучше

не вижу связи межди DDoS и использовании сервера не по назначению.

вы вообще понимаете, что такое DoS? Это и есть "использование сервера не по назначению". И заниматься защитой от него должен в первую очередь сам сервер, а уж во вторю -- какие-то "экраны".

это многое говорит о технической грамотности авторов этого решения. Или вы полагаете, что авторы свой сайт сделать нормально не могут, а чужие защищать умеют?

я, кстати, так и не нашёл, как там английский включить... А вы знаете?

по моей логике НЕ нужно было переводить, а сделать ТОЛЬКО английскую версию. Но очевидно, только английская версия привлечёт только профессионалов, но никак не неграмотное быдло из развивающихся стран. Выводы делайте сами, если конечно вы не хотите быть этим самым "неграмотным быдлом".

И да, если вы не умеете пироги печь, то идите в магазин и купите пирог. Не надо его печь самостоятельно. Но если вы не умеете, но таки всё равно печёте, то вы -- идиот. И колесо конечно не поменяете. Не?

доводов нет, есть рекомендации.

угу. "при ДДОСе".

не вижу связи межди DDoS и использовании сервера не по назначению.

что то я их тут не замечаю.

не виноватая я! (ц)

ну хоть с сайтом разобрались, и на том спасибо

конечно, раз на один из сотни ненужных в ИТ языков не перевели, значит ничего другого точно не умеют. По вашей логике, если я не умею пироги печь, то и колесо поменять не сумею

то есть команду я знаю, а еще я знаю когда ее не надо использовать.

угу. "при ДДОСе".

угу. Иные ещё умеют к первоисточнику обращаться.

я не включал специально русский язык на этом сайте, он сам включился, автоматически. Это не баг, а фича с багами. И да, я по-английски тоже немного умею, и данная фраза на английском звучит вполне нормально(Ridiculously easy security).

Очевидно, что если они даже сайт нормальный без багов не осилили, то и их решения тоже все гнилые и кривые. Ну не умеют по-русски? Ну дык зачем делать то, что не умеешь?

ок. С cloudflare разобрались. Вы порекомендовали дермецо. Что ещё будет?

т.е. вы знаете команду sudo apt-get snort ? Это конечно великое колдунство. Вот только меня вы не удивили.

то есть команду я знаю, а еще я знаю когда ее не надо использовать.

ну не всем же быть дерЁвней

нет, за перевод я им не плачу, более того, я прекрасно понимаю по английски, мне не надо искать русскоязычные переводы сайтов английских компаний.

после Вас

я считаю что сервер должен делать то для чего его установили, а не обслуживать вообще все и всех. Да, я могу настроить довольно таки приличный файрволл на линуксе, могу прикрутить туда snort и clam, поднять там свой CA и прокси сервер.

т.е. вы знаете команду sudo apt-get snort ? Это конечно великое колдунство. Вот только меня вы не удивили.

для Ъ

пруфлинк: https://ru.cloudflare.com/features-security

эти уродцы даже свою рекламу на нормальный язык перевести не осилили, денег не хватило на переводчика, и потому пользовались каким-то гуглотранслятором без вчитки. И вы им платите бабло за ЭТО? Тогда у меня для вас плохие новости...

ага. Учитесь. Сначала разбираться. И у вас всё получится.