Agosto 1929 |
No início ...
Proteção contra DDoS é uma coisa importante para os servidores, se você não quiser ter problemas com a disponibilidade dos serviços. Cedo ou tarde, alguém vai interferir com o nosso servidor que quer jogar, a competição desagradável, ele é tão entediado e aconteceu com o nosso servidor de agradá-lo para atacar. Para esses agentes de várias maneiras. Naturalmente, o método de relatar aqui no Linux, porque DDoS Windows załapuje antes de se conectar à rede (e um bom firewall custos de uma fortuna).
Para os seguintes passos são necessários privilégios de root (su).
Em primeiro lugar, APF (Advanced Firewall Policy-based)
É um poderoso firewall, e um pouco diferente do iptables. Eu não me incomodo de ter os dois, e um firewall, sem as regras desagradável, não obstrução.
Instalação:
# Cd / usr / src
# Utils Mkdir
# Utils Cd.
# Wget http://rfxnetworks.com/downloads/apf-current.tar.gz
# Tar-current.tar.gz xfz apf
# Cd apf *
#. / Install.sh
Já instalei ... mas não está pronto. Os arquivos README.antidos README.apf e dá descrições de configuração, que vale a pena ler. Agora é uma alteração na configuração pouco. Edite / etc / apf / conf.apf / e altere as seguintes linhas:
DEVEL_MODE = "0"
IG_TCP_CPORTS = "21,22,25,53,80,110,143,443,3306"
IG_UDP_CPORTS = "53,111"
USE_AD = "1"
Agora uma breve explicação: A primeira linha - Modo desenvolvimento desativar. A segunda linha: Especifica as portas de entrada TCP permitido. É muito importante não esquecer como um porto de 22 para SSH e todos os outros que nós precisamos. A terceira linha, o mesmo só que as portas UDP. Aqui, principalmente DNS porta (53), portmapper (porta 111). No final da AntiDDoS run (quarta linha).
Ok, namęczyliśmy agora, é hora de usá-lo. APF lançar o comando:
# Apf start-
Se você mostrar um erro (Não foi possível carregar o módulo iptables (ip_tables), abortando), adicionar em Config APF (incluindo como acima), a linha "SET_MONOKERN 1".
Em segundo lugar, DDoS Deflate
DDoS Deflate para trabalhar é necessário APF 
Instalação:
# Cd / usr / src / utils
# Ddos Mkdir
# Ddos Cd
# Http://www.inetbase.com/scripts/ddos/install.sh Wget
# Install.sh Sh
Agora a configuração:
No arquivo / usr / local / ddos / ddos.conf você pode aumentar o tempo de bloqueio (a proibição de IP).
Lançamento:
# / Usr / local / ddos / ddos.sh-c
Feito. DDoS Deflate foi adicionado ao cron. a cada 5 minutos e começa a bloquear os endereços IP da APF, que têm mais do que o número de conexões em conjunto config-prazo. Eu recomendo para aumentar o tempo de bloqueio.
Em terceiro lugar, as regras de IPTables
Bloqueio de ataques DOS - Ping da Morte
iptables-A INPUT-p icmp-icmp-type echo-request-m de comprimento de comprimento 60:65535-j ACCEPT
Lock ataque DOS - Teardrop
iptables-A INPUT-p-f UDP-j DROP
Lock ataque DOS - SYN inundações
iptables-A INPUT-p TCP-syn-m iplimit iplimit-acima de 9-j DROP
Lock antes do ataque DOS - Smurf
iptables-A INPUT-m ponto PktType-tipo broadcast-j DROP
iptables-A INPUT-p icmp-icmp-type echo-request-m-PktType PktType broadcast-j DROP
iptables-A INPUT-p icmp-icmp-type echo-request-m limite limite de 3 / s-j ACCEPT
Lock ataque DOS - UDP inundação (Pepsi)
iptables-A INPUT-p UDP-dport 7-j DROP
iptables-A INPUT-p UDP-dport 19-j DROP
Lock ataque DOS - SMBnuke
iptables-A INPUT-p UDP-dport 135:139-j DROP
iptables-A INPUT-p TCP-dport 135:139-j DROP
Lock ataque DOS - Conexão inundações
iptables-A INPUT-p TCP-syn-m iplimit iplimit-se acima de 3-j DROP
Lock ataque DOS - Fraggle
iptables-A INPUT-p UDP-m ponto PktType-tipo broadcast-j DROP
iptables-A INPUT-p UDP-m limit limite de 3 / s-j ACCEPT
Lock ataque DOS - Jolt
iptables-A INPUT-p icmp-f-j DROP
Existe a possibilidade de que o sistema zastrajkuje a ausência de um módulo no kernel, então você deve recompilar o ovo ou a dar-se a paz de espírito ... se era difícil, eu estou escrevendo isso só porque você sabe que isso pode ser.
No final de ...
Agora estamos (quase) seguro.
Não se esqueça de adicionar o APF para iniciar automaticamente se você instalar o pacote automaticamente se o método descrito acima, você precisa fazê-lo sozinho.
Note-se que todas as deixar os arquivos de instalação em / usr / src / utils. Por quê? Porque, como o nome sugere, não deveria ser! (E não a maca na raiz /)