tshark-kal próbáltam elkapni ezeket a csomagokat (nincs grafikus felület a szerveren), de nem voltak a leszedett csomagok között. Megnézem tcpdump-pal is, azzal még nem próbáltam.
Fehér Sándor <[email protected]> ezt írta (időpont: 2018. okt. 17., Sze, 14:11): > Ha ddos támadásod van, az rendre az input láncon lesz, mert a > szolgáltatásod a publikus ip-n van. /portforward esetén is, de akkor persze > a routeren logolod/ > Ha tényleges ddos volna, szerintem megsínylené a szolgáltatásod, mivel > tutira lehalna a sok kérés miatt. > Jó volna egy tcpdump és/vagy wireshark annak kiderítésére, hogy mik azok a > gyanús csomagok. > > Ha iptablesed van, a ddos védelmet rate limit modullal tudod megoldani, > vagyis 1 másodperc alatt csak kb 30 kapcsolódást engedsz a többit dobod. > Ezt persze majd neked kell behangolni, hogy mennyi az ideális, a 30 csak > példának okáért van. > A ddos mellé szoktam icmp rate limitet is csinálni, mert aki komolyan > nyomja a ddos-t, az icmp is tuti megpróbálja. > vpsnél mindennapos a ddos támadás(szerverplexnél vagyok), mikrotikre van > BEVÁLT megoldásom, ha érdekel. > > 2018. 10. 17. 14:02 keltezéssel, József Venczel írta: > > Szia! > > Húha, akkor nagyon nem értek valamit... :( > > Igen, jól értelmezed. > > A válaszok nem a FORWARD láncra kellene, hogy kerüljenek? > Mert ezek az INPUT láncon jönnek. > És miért különböző célportokra jönnek? Miért nem a 80-asra, vagy a > 443-asra? > > Bocs, ha hülyeségeket kérdezek! > Eddig azt hittem értem mit csinálok... :( > de akkor most már nem értem az egészet. > > Üdv, > Venczel József > > Veres Sándor <[email protected]> ezt írta (időpont: > 2018. okt. 17., Sze, 13:45): > >> Szia! >> >> 2018. 10. 17. 13:09 keltezéssel, József Venczel írta: >> > Van egy tűzfalam. Úgy állítottam be, hogy alapból mindent tiltok, csak >> > azt engedem, amit én akarok, ez meg csak a webes forgalom, de az is >> > csak a kliensek felől irányuló kérések alapján. >> > Tehát, ha már kiépült kapcsolathoz tartozik, akkor jöhet, egyébként >> > meg naplózom és DROP. >> > Valahol, régebben olvastam, hogy ezt így érdemes csinálni és lehet, >> > hogy tényleg... >> > >> > Épp a szervereim központi naplózását próbálom megoldani, amikor arra >> > lettem figyelmes, hogy a tűzfal syslog-jában van egy csomó, különböző >> > ip címekről jövő csomag. Mind 40 bájtos és mindegyik forrásportja a >> > 80-as és a 443-as port, a DPT (1-65565) változó. Mindegyik célcíme a >> > tűzfalam publikus lába. >> > >> > És itt jön az első kérdés: anno nem kértem semmilyen portnyitást a >> > tűzfalra. Akkor ezek a csomagok hogyan érnek el hozzám? Nem kéne már a >> > NIIF vagy KIFÜ vagy nemtomki tűzfalán fennakadniuk? >> >> >> Ha jól értelmezem ez a szervered egy átjáró, amely NAT-ol is. Akkor ezek >> a csomagok szerintem a klienseidtől induló kérésekre érkezett válasz >> csomagok, amelyeknek a forrás portja természetesen 80 és 443, mivel a >> klienseid ezeket "címezték meg". >> >> Veres Sándor >> >> >> _______________________________________________ >> Techinfo mailing list >> [email protected] >> Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo >> Illemtan: http://www.szag.hu/illemtan.html >> Ügyfélszolgálat FAQ: http://sulinet.niif.hu/ >> > > > _______________________________________________ > Techinfo mailing [email protected] > Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo > Illemtan: http://www.szag.hu/illemtan.html > Ügyfélszolgálat FAQ: http://sulinet.niif.hu/ > > > > -- > > _______________________________________________ > Techinfo mailing list > [email protected] > Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo > Illemtan: http://www.szag.hu/illemtan.html > Ügyfélszolgálat FAQ: http://sulinet.niif.hu/ >
_______________________________________________ Techinfo mailing list [email protected] Fel- és leiratkozás: http://lista.sulinet.hu/mailman/listinfo/techinfo Illemtan: http://www.szag.hu/illemtan.html Ügyfélszolgálat FAQ: http://sulinet.niif.hu/
