Re: [inet-admins] Flooding и как с ним бороться.

[Sergej E Bogomolov <bog@deol.ru>]

Ilia Zubkov wrote:
> 
> ----- Original Message -----
> From: "Sergey D. Kuksa" <S.Kuksa@overta.ru>
> To: "Vladimir Tregub" <vt@ccs.ru>
> Cc: <inet-admins@info.east.ru>
> Sent: 6 августа 2001 г. 14:53
> Subject: Re: [inet-admins] Flooding и как с ним бороться.
> 
> >
> > VT> Привет, уважаемые.
> >         Привет и тебе
> >
> > VT> Каналы толстые не у всех и хулиганские выходки типа flooding на
> > VT> какого-нибудь клиента легко выводят
> > VT> из строя всю сеть провайдера (эдакий DoS на всю сеть).
> >
> > VT> Как против таких атак бороться?
> > VT> Есть какая-нибудь методика, рекомендации кроме как "канал расширить"?
> >
> > VT> Сомнений в том, что это flooding нет: я не могу придумать способа
> диалапщику
> > VT> запросить с веб-серверов столько информации, что у аплинка
> переполнятся
> > VT> очереди на 4мб канале в сторону провайдера этого диалапшика (очереди
> > VT> переполняются настолько, что даже bgp keepalive дохнет).
> >         Я лично видел, как диалапщик загрузил 2-х метровый канал.
> > Как - тут писать не буду, отвечу лично. Но скажу, что это возможно.
> > Если squid стоит.
> Поправка: _плохоадминистрируемый_ squid. Т.е., например, если включена по
> умолчанию возможность клиенту запросить кучу многомегабайтных файлов и
> подропать connection, а squid при этом также по умолчанию должен все запросы
> скачать.
> 
> Оставляйте разумное пронтное соотношение размера файла, после которого squid
> должен-таки докачать файл при обрыве connection'а запроса. Или выключайте то
> совсем. По умолчанию - там вроде все это включено.

клиенты иногда пользуют такой софт, что это не помогает, хоть совсем выключи докачку.
Пока squid поймет, что timeout истек (клиент не извещает о разрыве соединения)
он успевает загрузить канал, а к этому времени клиент успевает новое соединение
открыть и т.д. Помогает только traffic shaping.

-- 
Sergej E. Bogomolov  bog@deol.ru, bog@iname.com
   OOO Saturn-9      (+7 095)9327747,(+7 095)9327647, fax: (+7 095)9327410
   (DEOL)            http://www.bog.pp.ru
system administrator nic-hdl: SEB1-RIPN, SEB-RIPE, SEB72

=============================================================================
"inet-admins" Internet access mailing list. Maintained by East Connection ISP.
Mail "unsubscribe inet-admins" to Majordomo@info.east.ru if you want to quit.
Archive is accessible on http://info.east.ru/rus/inetadm.html