Beiträge von m-k

  • Wireguard Verständnisfrage

    Zitat von [netcup] Lars S.

    Hallo m-k,

    unsere Kollegen vom Network Operation Center haben soeben eine Änderung an unserem DDoS-Filter vorgenommen. Bitte behalte im Blick, ob es nun noch weiterhin auftritt. Danke.

    Hallo Lars,

    erstmal vielen Dank für die Intervention, allerdings besteht das Problem weiterhin, nachdem ich alle selbst erstellten Limitierungen auf dem VPS abgeschaltet habe...

    Ich verstehe tatsächlich nicht, wie der Wireguard Tunnel, mit dem mein VPS verbunden ist, über 10x mehr schicken kann als tatsächlich ankommen. Werden die Pakete verworfen und erneut gesendet? Die Transfers laufen ja durch, selbst mit aktivem DDoS Filter mit 10Mbit/s...

    Sobald der Filter wieder inaktiv ist, werde ich mein Empfangslimit mal auf 500Mbit/s setzen wie von NaN vorgeschlagen.

    Edit:

    Die Begrenzung auf 500Mbit/s wie von NaN vorgeschlagen hat bisher den DDoS Filter vermieden, die Verbindung blieb über 2 Stunden konstant bei etwa 65MB/s stabil ohne den DDoS Filter auszulösen.

    Screenshot_2025-09-25_15-16-33.png

    Werde das die nächsten Tage so belassen und wenn es keine Probleme gibt, langsam erhöhen, bis ich das Optimum finde...

  • Wireguard Verständnisfrage

    Zitat von NaN

    Ich rate mal ins Blaue: Läuft da eine Seedbox und der Traffic im Tunnel sind Torrents, die bekanntlich mit sehr vielen Verbindungen eine Herausforderung für QoS sind?

    Vorschlag zum Testen: Begrenze die Bandbreite inbound auf einen kleinen Wert, der klar unterhalb der zur Verfügung stehenden Bandbreite ist. Dann schau nach, wie viel Bandbreite inbound auf dem Device ankommt, also vor der bremsenden Queue. Wenn das signifikant mehr als hinter der Queue ist, dann funktioniert das Traffic Management ausgehend dort nicht.

    Nein, keine Torrents, eine einzige statische Quelle, gemounted als Laufwerk per rclone.

    Ich werde die Bandbreitenbeschränkung mal auf 500Mbit setzen und schauen, was passiert...

  • Wireguard Verständnisfrage

    Ich habe die Begrenzung auf Empfängerseite gemacht, daher ingress.

    Zitat von NaN

    Normalerweise sollte das im Tunnel verwendete Protokoll dafür sorgen, dass die Sendebandbreite an die real verfügbare Bandbreite angepasst wird, aber wenn du da z.B. mit iPerf draufballerst, dann kannst du auch mehr senden, als das Ziel empfangen kann. Monitore doch mal, was aus der angeblichen DoS-Quelle rausgeht.

    Leider habe ich keinen Einfluss auf die Senderseite, nur einen Account, über den ich leider nichts einstellen kann... Beim Heimanschluss (Kabel) mit 1Gbit/s gibts aber nie Probleme, mein ISP hat sich noch nie beschwert und da habe ich schon etliche Stunden mit vollen 1Gbit/s über denselben Wireguard Tunnel geladen.

  • Wireguard Verständnisfrage

    Zitat von cltrmx

    Ich habe mal eine ganz andere Frage an die Leute unter euch, die WireGuard auf einem VPS/Root Server verwenden, um Traffic nach hause und umgekehrt zu tunneln: Selbst verwende ich auch einen solchen Tunnel um Services, die ich zu Hause hoste, von außen erreichbar zu machen. Das führt aber unter Umständen dazu, dass NetCups DDOS-Protection anschlägt, weil eben ein paar hundert Mbps UDP-Traffic auf den VPS einprasseln.

    Habt ihr so etwas auch schon beobachtet und falls ja, gibt es eine Abhilfe dafür?

    Ich beobachte dasselbe, wenn ich per Wireguard VPN von meinem Firmennetzwerk etwas herunterladen will und es ist extrem ärgerlich, denn die Blockade ist irrational, weil es offensichtlich kein Angriff ist, sondern ein fortlaufender Datenstrom von einer einzigen IP Adresse (des VPN Servers). Netcup drosselt dann auf 10Mbit/s, nach 5 Minuten gibt es ein Update per Mail, manchmal noch ein zweites nach 10 Minuten und nach ca. 15 Minuten wird die Blockade aufgehoben, bis sie wieder anspringt.

    Das sieht dann folgendermaßen aus:

    Screenshot_2025-09-24_14-04-43.png

    Die Mail sieht dann so aus:

    Der Support ist leider auch nicht hilfreich, ich habe gebeten, den DDoS Schutz zu deaktivieren weil es offensichtlich kein DDoS ist, der von einer einzigen IP ausgeht, doch das scheint nicht zu gehen. Auf 10Mbit/s kann man ja offensichtlich begrenzen, die 1Gbit/s gehen nicht, auch wenn bei mir nur maximal diese ankommen. Leider kenne ich mich nicht im Detail mit dem Wireguard Protokoll aus, kann mir aber nicht vorstellen, dass der Gegenpart mit angeblich bis zu 20Gbit/s verschickt, wenn mein RS nur 1Gbit/s entgegennehmen kann.

    Zitat

    Guten Tag *****,

    vielen Dank für Ihre Anfrage.

    Der DDoS-Filter dient dem Schutz unserer Infrastruktur und kann daher nicht deaktiviert werden. Sie können lediglich versuchen, den Datenstrom so zu verändern, dass der DDoS-Filter nicht mehr auslöst, z.B. durch eine Bandbreitenbegrenzung.

    Mit freundlichen Grüßen,

    netcup Team

    Ich habe auch schon manuell versucht, die Bandbreite Serverseitig zu begrenzen, doch es nützt nichts...

    Bash
    #!/bin/bash
export IF_INET=eth0
export LIMIT=1000Mbit

tc qdisc add dev ${IF_INET} ingress

tc filter add dev ${IF_INET} protocol ip ingress prio 2 u32 match ip dst 0.0.0.0/0 action police rate ${LIMIT} burst ${LIMIT}
tc filter add dev ${IF_INET} protocol ip ingress prio 2 u32 match ip src 0.0.0.0/0 action police rate ${LIMIT} burst ${LIMIT}

    Mittlerweile tippe ich auf einen Bug im Reporting seitens Netcup.