IPTables / Serversicherheit

gegen einen DDoS kannst du so oder so nichts machen
Wenn die Netzwerkbandbreite erstmal die Anbindung des Servers übersteigt, bringt dir ein IP-Tables auf dem Server nichts mehr.

Es gibt mehr als die Art von dDoS.
Zum Beispiel ein SYN-Flood, um konkret einen zu nennen. Und da bringt eine Firewall viel.
DoS steht eig. nur für Dienstausfall. Der Grund dafür kann eine Lahmgelegte Anbindung, ein gecrashter Router oder ein Kernel- oder anderer Software-Zusammenbruch sein. Und das d eben für ein Netzwerk von Angreifern.
Ist wie der Begriff "Trojaner". Die meisten verstehen ein Backdoor darunter, aber ein Trojaner ist nur als nützlich getarnte Malware im Allgemeinen. Es gibt Backdoors, die keine Trojaner sind, es gibt Trojaner, die keine Backdoors sind.

glaube mir ich weiß was ein DDoS ist.

Falls dein Synflood nicht die Netzwerkbandbreite übersteigt, dann kannst du in der Firewall eine max. Anzahl an Connections pro Sekunde einstellen, das sollte wenigstens einen Schutz bieten.

Zitat von ice-breaker;13133

Falls dein Synflood nicht die Netzwerkbandbreite übersteigt, dann kannst du in der Firewall eine max. Anzahl an Connections pro Sekunde einstellen, das sollte wenigstens einen Schutz bieten.

Jetzt bin ich seit mehr als einem Jahr bei Netcup und entdecke dieses Feature in der Firewall erst durch deinen Beitrag :eek:
Danke für den Hinweis, das habe ich gestern am Testsystem gleich ausprobiert, feine Sache

MfG Christian

Ich stand mit einem Bekannten vor einigen Wochen vor dem Problem, dass ein riesiges Botnetz mit mehreren hundert Mbit einen DDoS ausführte, und da kannst du mit einer Softwarefirewall nichts machen.
Gegen einen "Kinder-DDoS" mit wenigen Mbit auf den HTTP-Port kannst du etwas unternehmen, aber wenn ein DDoS kommt, dann kommt er gleich richtig

Das ist schon klar, ist aber immerhin ein minimaler Schutz gegen die 0815 Kiddies, die glauben sie sind die großen Cracker, weil sie eine Software gefunden haben

MfG Christian

neija gut, dann haben wir verschiedene Auffassungen von DDoS.
Die 2MBit sind nen Witz und würde ich nie im Leben als DDoS bezeichnen. Das sind ja nur "eine Hand voll" Rechner.

davon rede ich doch, dann definiere welchen DDoS in welcher Höhe du mit deiner Softwarefirewall blocken willst

Zitat

Jetzt bin ich seit mehr als einem Jahr bei Netcup und entdecke dieses Feature in der Firewall erst durch deinen Beitrag :eek:
Danke für den Hinweis, das habe ich gestern am Testsystem gleich ausprobiert, feine Sache

Ah, ist aber auch echt gut versteckt xD

Wie muss die Policy gesetzt werden?
Ich gehe mal von
tcp/udp, any, any, any, any, drop, limit, [Zahl]
aus? Oder accept?

EDIT: Noch eine Frage:
Gilt die Beschränkung pro IP oder global?

Sollte passen, Artimis. Ob pro IP oder global weiß ich gerade nicht, ich hatte gestern nur auf einem Server "ab" laufen lassen
Eine vollständige Doku zur VCP Firewall wäre echt praktisch *sigh*

MfG Christian

Hast du die Policy momentan im Betrieb? Was hälst du für einen realistischen Wert? 10 pro IP?

Was wird denn überhaupt limitiert? Die Packete ja wohl kaum. Aber wie sieht das mit UDP aus? Kann man da von einer hergestellten Verbindung sprechen? Jedenfalls ist UDP unerheblich für die Vorbeugung gegen z.B. SYN-Floods...

Nachtrag: Eben mal ausprobiert:
alle Adressen, alle Ports an alle Adapter, alle Ports, DROP, Limit: 10/s => Server praktisch offline. Kein SSH, kein HTTP...

Ich habs wie gesagt nur kurz am Testsystem ausprobiert, mein Produktivsystem kann und will ich damit nicht lahm legen. Ich habe gestern nur mit TCP-Port 80 rumgespielt. Vielleicht werden doch die Pakete blockiert, weil bei dir gleich alles offline ist?

MfG Christian

Ich habe Erfahrung mit Apache + cband gemacht. Setze ankommende Traffik auf 56kbit/s und dazu noch pro Sekunde 3 Afragen pro Client-IP und du hast Ruhe vor DoS-Kiddys.

Naja, aber das bringt ja dann nur im Falle des Apachen etwas. Mein Server hat, um beim bereits angesprochenem SYN-Floog zu bleiben, noch ein paar mehr TCP-Ports offen, die genutzt werden können. Oder hat cband nichts mit Apache zu tun?
Das mit cband werde ich mir wohl auf jeden Fall ansehen, sobald ich mal wieder ne ruhige Minute habe
Aber die Firewalllösung wäre natürlich am schönsten.

Zitat von turhost;13182

und dazu noch pro Sekunde 3 Afragen pro Client-IP

Etwas wenig, oder? Da macht der Apache doch schon bei normalen Websites dicht, jede CSS-Datei, Bild, Javascript usw. ist ja eine Anfrage :eek:
Für solche Sachen empfehle ich übrigens mod_evasive beim Apache, das hat teilweise bessere Optionen gegen kleine Flooding-Attacken

MfG Christian

Zitat von Artimis;13173

alle Adressen, alle Ports an alle Adapter, alle Ports, DROP, Limit: 10/s => Server praktisch offline. Kein SSH, kein HTTP...

Das macht DROP auch ohne Limit.;)

Jep, ich bin nun davon ausgegangen, dass das die Policy dann greift, wenn die Bedingung erfüllt ist, also die zehnte Verbindung hergestellt wird.

Oder in Pseudocode:
if($anzverb >= 10) drop();
else standardpolicy();

Aber Irrtum sprach der Igel und sprang von der Bürste.