Re: ДДосят SSL - все работает без проблем, но спустя су тки порт 443 перестает отв ечать.

[Andrew Kopeyko <kaa@xxxxxxxx>]

vast wrote:
> Идет совсем небольшой ддос, дето около 1мбита. Сервер его почти нечувствует, но 
> досят конкретно HTTPS и причем не просто syn-flood-ом а происходит полноценная 
> установка соединения, клиент отвечает, но согласование SSL непроиходит, выдает 
> вот такую ошибку:
>
> 2010/02/07 04:43:10  28764#0: *12240366 SSL_do_handshake() failed (SSL: 
> error:1408A0B7:SSL routines:SSL3_GET_CLIENT_HELLO:no ciphers specified) while 
> SSL handshaking, client: ......, server: .....
>
> 2010/02/07 04:43:10  28764#0: *12240311 SSL_do_handshake() failed (SSL: 
> error:1408A09F:SSL routines:SSL3_GET_CLIEN
> T_HELLO:length mismatch) while SSL handshaking, client: .........., server: 
> .........
>
> Эи ошибки летят в огромном количестве так шо error_log быстро переваливает за 
> 1,5гига.... отключить их никак немогу по человечески, так чтобы неубирать 
> error_log вообще.
Ротируйте его почаще...

> Кроме того в access_log пишеться такое:
>
> 190.152.158.140 - - [07/Feb/2010:00:10:09 +0200] - "400" 0 "-" "-" "-"
> 190.41.142.205 - - [07/Feb/2010:00:10:09 +0200] - "400" 0 "-" "-" "-" 
> 91.193.70.51 - - [07/Feb/2010:00:10:09 +0200] - "400" 0 "-" "-" "-"   
> 189.201.78.182 - - [07/Feb/2010:00:10:09 +0200] - "400" 0 "-" "-" "-" 
> 82.201.199.192 - - [07/Feb/2010:00:10:09 +0200] - "400" 0 "-" "-" "-" 
>
> также в огромных кол-вах.
>
> Была версия 0,7,61 - обновление до 0.7.65 ничем непомогло. 
Было бы _очень_ странно, если б помогло...

К сожалению, есть только 2 способа бороться с SSL ДОС'ом:
1) блокировать заражённых на уровне IP (firewall'ом или роутить в 
loopback) - быстро и дёшево, но всех не отобьёт.
2) наращивать ресурсы, а именно CPU - вылечит всех, но дорого и небыстро.


--
Best regards,
Andrew A. Kopeyko <kaa@xxxxxxxx>
http://www.zvuki.ru/

_______________________________________________
nginx-ru mailing list
nginx-ru@xxxxxxxxx
http://nginx.org/mailman/listinfo/nginx-ru