я бы смотрел на что нибудь серьезное, или ASA 5510 или хотя бы фортинет какой нибудь

150mbps это много, с 5510 можно нарастить мощность потом, сделав кластер, а 5505 это тупик насколько я знаю.

Нужна хоть какая-то защита от ддоса > права > отсев больших пакетов и тд

продолжение темы модераторы отрезали: Фаервол

За 3-5 лет уже все оборудование поменяется. Сейчас главное стартап )
Собственно спасибо за помощь.

Аппарат ловит > iptables добивает = профит.
Ну почему сразу заслужить... Есть люди, которые валят без "заслуг". Топовые проекты например или конкурентов.

У многих есть свои ботнеты. Так что ддос сейчас не новшество.

дык в железке тот же линукс с той же iptables. И смысл?

выбраться в топ и задавить конкурентов -- тоже заслуга, и не малая. Да, это заслуга не программиста, но и не программисты пишут вредоносный код.

не новшество. Это тоже бизнес. Это не удел каких то "сумеречных гениев", это просто бизнес. А ботнет -- это продукт данного бизнеса, он продаётся и покупается оптом и в розницу. Это паразитизм. Лучшее средство от паразитов -- профилактика, профилактика, и ещё раз профилактика.

В контексте данной темы, могу предложить только авторизацию клиентов, это даёт эффект. Костыли вроде iptables(и железные тоже) конечно помогают, но... Костыли жеж...

не надо спорить, он все равно не способен понять.

так я и не спорю, и тоже считаю что у каждого девайса в нормальном датацентре должна быть своя функция, желательно одна, и очень желательно - как раз та для которой девайс и был создан. И я пока еще не видел ни единого серьезного датацентра (а видел, планировал и поднимал я их достаточно), где использовались бы простые линукс серверы как файрволлы на периметре

ДЦ физически не могут грамотно настроить фаервол каждому клиенту под ЕГО нужды. Потому, они вынужденны покупать железный фаервол.

Ну грубо говоря, имеем Over9000 кульцхацкеров, поднявших каждый по своему уютному форуму на своих VPS'ках. ВНЕЗАПНО, на одном из серверов выкладывают какое-нибудь видео, вроде заживо сожжённого кота. Сразу идут две волны навстречу друг-другу. Точнее одна -- тонны ненависти. Форум становится популярным, и на одного кульцхацкера(удачного, который с котом) натравливают ботнет, какой-то самый грамотный(или богатый) из Over9000 неудачников.

Фишка в том, что страдают ВСЕ. Ручками мониторить это можно, но не эффективно. Мониторят не ручками, а железякой. Вынужденная мера...

А возможностей у циски неизмеримо меньше... Но в данном случае ей проще, она просто тот хост может тупо прибить, что с жжёным котом. Атака-то на него. Причём сделать она это может СРАЗУ. В итоге, рухнет только VPSка с котом. Сама виновата, нельзя над котами издеваться

а вы видели, что там ВНУТРИ вашего фаервола?
Думаете, там неонка?

ИМХО я-бы не был таким категоричным. Iptables конечно отнимает ресурсы, но ОЧЕНЬ мало.

Конечно "очень" понятие приблизительное. В конкретном случае может и не очень. А может и очень.

Категоричное "нет" тут неграмотно, как и категоричное "да". Зависит от конкретики.

скажем так - когда висит один хост, и ничего ему особо не угрожает, кроме стандартных дурней в интернете, то iptables плюс небольшая обвеска вокруг (тот же fail2ban например) обычно вполне адекватны.

если же планируется что то посерьезнее, то надо смотреть на подходящее железо, не обязательно циски, но что нибудь из серьезного точно. если циски не обязательны, я бы глянул на чекпоинт и пало-альто, если надо сэкономить, то фортинет не так уж плох, есть еще соникволл, но у них идиотский метод экспорта конфигурации

у нас проявилось серьезное смягчение позиций

ну в первом посте не совсем ясно было. Я думал речь про один сервер, который вы полностью контролируете. Если у вас какой-то жуткий зоопарк -- я без понятия.