Schutz gegen (D)DOS Attacken?

[SISTRIX]

Bei DDOS kannst du selber nicht viel machen. Der Traffic kommt ja und ob du den annimmst oder nicht, ist erstmal ziemlich egal - wenn genug Traffic kommt, ist die Leitung erstmal dicht. Da müsste jetzt der Provider reagieren und möglichst früh, als in Richtung der Trafficquelle eingreifen. Schwierig wird es dann, wenn der Traffic über ein Zombienetzwerk von vielen verschiedenen IPs kommt. Kurzum: Pech gehabt

Gruß Johannes

[Airport1]

Der Traffic kommt hauptsaechlich ueber viele IPs aus dem 88.*.*.* und 85.*.*.* Bereich, hauptsaechlich *.ttnet.tr . Spitzenreiter war bislang 1 IP die knapp 1750 Connections aufbaute, die meisten schaffen "nur" bis zu 300 Connections.

Da nicht auszuschliessen ist dass das Schwein hier mitliest, sollte ich aber dann doch nicht zuviel verraten..

Ob Abuse Mails an ttnet.tr ueberhaupt was bringen oder ignoriert werden, frage ich mich gerade..

[SISTRIX]

Was ist denn das Problem? Die Anzahl der aufgebauten Connections oder der Traffic?

[Micha88]

Ist es denn überhaupt ein "richtiger" SYN-Flood wo der Stack überquillt weil nicht mehr geantwortet wird oder einfach nur mit genügend Power drauf?

[Airport1]

Es sind tausende IPs aus der Tuerkei, und jede einzelne (!) versucht im Schnitt bis 300, manche bis zu 1750 Connections mit SYN aufzubauen. Sieht man auch wunderschoen ueber netstat.. immer die gleichen IPs auf deren verschiedenen Ports.. und immer nur SYN, SYN, SYN, ..., SYN

[Boa]

und der Server ist bei Strato?
Hast du eine 2 te IP zur Verfügung?

[Micha88]

Ich würde iptables mal ausprobieren. IMHO könnte es sein, dass das noch rechtzeitig ansetzt. Denn das Problem ist ja eigentlich nur so viele SYN-Pakete zu verwalten. Wenn du jedoch rechtzeitig türkische SYN-Pakete wegwirfst sollte das klappen.

[Airport1]

iptables benutz ich seit gestern (tolle syntax, bis man da mal einen schnelleinstieg findet ) und "syn cookies". scheint die situation schon enorm entschaerft zu haben. syn backlog wurde auf 1/4 reduziert.

Allerdings frage ich mich ob nicht auch Strato besser bedient waere solche Floods zu erkennen und selber zu verwerfen.. ist ja immerhin ihr Netzwerk, das damit zugemuellt wird..

[Micha88]

Genau, wenns nicht nur pure Gewalt ist bringen SYN-Cookies auch was. Verwirfst du jetzt im iptables alle SYN-Pakete aus dem IP-Range? (*g* einmalige Syntax)

[Airport1]

Genau! DROP DROP DROP DROP DROP...
Unbeteiligte aus der Tuerkei haben dadurch leider das Nachsehen.
Aber derzeit kann man es nicht anders loesen.