ПРОЕКТЫ 


  АРХИВ 


Apache-Talk @lexa.ru 

Inet-Admins @info.east.ru 

Filmscanners @halftone.co.uk 

Security-alerts @yandex-team.ru 

nginx-ru @sysoev.ru 


  СТАТЬИ 


  ПЕРСОНАЛЬНОЕ 


  ПРОГРАММЫ 



ПИШИТЕ
ПИСЬМА












     АРХИВ :: nginx-ru
Nginx-ru mailing list archive (nginx-ru@sysoev.ru)

[Date Prev][Date Next][Thread Prev][Thread Next][Date Index][Thread Index]

Re: ДДосят SSL - все работает без проблем, но спустя су тки порт 443 перестает отв ечать.



On Mon, Feb 08, 2010 at 11:14:15AM +0300, Andrew Kopeyko wrote:

> vast wrote:
> > Идет совсем небольшой ддос, дето около 1мбита. Сервер его почти 
> > нечувствует, но досят конкретно HTTPS и причем не просто syn-flood-ом а 
> > происходит полноценная установка соединения, клиент отвечает, но 
> > согласование SSL непроиходит, выдает вот такую ошибку:
> > 
> > 2010/02/07 04:43:10  28764#0: *12240366 SSL_do_handshake() failed (SSL: 
> > error:1408A0B7:SSL routines:SSL3_GET_CLIENT_HELLO:no ciphers specified) 
> > while SSL handshaking, client: ......, server: .....
> > 
> > 2010/02/07 04:43:10  28764#0: *12240311 SSL_do_handshake() failed (SSL: 
> > error:1408A09F:SSL routines:SSL3_GET_CLIEN
> > T_HELLO:length mismatch) while SSL handshaking, client: .........., server: 
> > .........
> > 
> > Эи ошибки летят в огромном количестве так шо error_log быстро переваливает 
> > за 1,5гига.... отключить их никак немогу по человечески, так чтобы 
> > неубирать error_log вообще.
> 
> Ротируйте его почаще...
> 
> > Кроме того в access_log пишеться такое:
> > 
> > 190.152.158.140 - - [07/Feb/2010:00:10:09 +0200] - "400" 0 "-" "-" "-"
> > 190.41.142.205 - - [07/Feb/2010:00:10:09 +0200] - "400" 0 "-" "-" "-" 
> > 91.193.70.51 - - [07/Feb/2010:00:10:09 +0200] - "400" 0 "-" "-" "-"   
> > 189.201.78.182 - - [07/Feb/2010:00:10:09 +0200] - "400" 0 "-" "-" "-" 
> > 82.201.199.192 - - [07/Feb/2010:00:10:09 +0200] - "400" 0 "-" "-" "-" 
> > 
> > также в огромных кол-вах.
> > 
> > Была версия 0,7,61 - обновление до 0.7.65 ничем непомогло. 
> 
> Было бы _очень_ странно, если б помогло...
> 
> К сожалению, есть только 2 способа бороться с SSL ДОС'ом:
> 1) блокировать заражённых на уровне IP (firewall'ом или роутить в 
> loopback) - быстро и дёшево, но всех не отобьёт.
> 2) наращивать ресурсы, а именно CPU - вылечит всех, но дорого и небыстро.

Судя по ошибкам и приведённым исходникам, до собственно криптографии не
доходит, так что процессора там хватает. Скорее всего, не хватает сокетов
и прочего.


-- 
Игорь Сысоев
http://sysoev.ru

_______________________________________________
nginx-ru mailing list
nginx-ru@xxxxxxxxx
http://nginx.org/mailman/listinfo/nginx-ru


 




Copyright © Lexa Software, 1996-2009.