Чем защищаться от DoS?
Приветствую. У меня VPS на Debian Etch, ядро 2.6.18-028stab059.5-ent Собственно, DoS-ят VDS, причём достаточно примитивно: 77.244.37.68 - - [26/Jan/2009:13:25:30 +0100] "GET / HTTP/1.0" 200 51928 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.0.5) Gecko/2008120122 Firefox/3.0.5" 77.244.37.68 - - [26/Jan/2009:13:25:33 +0100] "GET / HTTP/1.0" 200 51928 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.0.5) Gecko/2008120122 Firefox/3.0.5" 77.244.37.68 - - [26/Jan/2009:13:25:33 +0100] "GET / HTTP/1.0" 200 51928 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.0.5) Gecko/2008120122 Firefox/3.0.5" 77.244.37.68 - - [26/Jan/2009:13:25:33 +0100] "GET / HTTP/1.0" 200 52064 "-" "Mozilla/5.0 (Windows; U; Windows NT 5.1; ru; rv:1.9.0.5) Gecko/2008120122 Firefox/3.0.5" Лог апача забит подобными строками - тысячи их. Первая мысль: # iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 5 -j DROP В ответ отлуп: iptables: No chain/target/match by that name Поддержка в iptables есть: #iptables -m connlimit -h connlimit v1.3.6 options: [!] --connlimit-above n match if the number of existing tcp connections is (not) above n --connlimit-mask n group hosts using mask Обратился в техподдержку хостера - в ответ отлуп: бла-бла-бла невозможно добавить в ВПС данные модули. В общем, очаровательно, и чего же мне делать теперь? Какие есть альтернативы? Прошу помощи. -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Re: Чем защищаться от DoS?
Поставьте nginx акселератором и забаньте в нём :) А он что, может автоматом это делать по тому же принципу? Просто не имел дела с ним никогда. -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Re: Чем защищаться от DoS?
Stanislav Kruchinin пишет: Kirill Shatalaev wrote: Приветствую. У меня VPS на Debian Etch, ядро 2.6.18-028stab059..5-ent Собственно, DoS-ят VDS, причём достаточно примитивно: Первая мысль: # iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 5 -j DROP Если уж на то пошло, то лучше использовать hashlimit, поскольку он ограничивает число соединений не для всех IP, а для каждого в отдельности. Иначе DoS-атака окажется успешной, т.к. все разрешенные соединения будут идти только с IP атакующего. Если я ничего не путаю, то отличие connlimit от простого limit как раз и состоит в том что это правило срабатывает "на 1 IP". -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Lenny и D945GCLF - нужна помощь !
Всем привет. Приобрёл для роутера эту микроскопическую атомную железяку. Стал ставить на неё debian 5.0. Как выяснилось, выбор плохой. Проблемы с встроенной сетевухой начались сразу. Погуглив, выяснил, что я далеко не одинок. Взял исходники с сайта реалтек (версия на сегодня последняя r-8101-1.011.00), собрал модуль r8101.ko. Далее по инструкции: #rmmod r8169 #mv /lib/modules/`uname -r`/kernel/drivers/net/r8169.ko \ /lib/modules/`uname -r`/kernel/drivers/net/r8169.ko.old #depmod -a #mv /boot/initrd.img-`uname -r` /boot/initrd.img-`uname -r`.old #mkinitramfs -o /boot/initrd.img-`uname -r` Перезагружаюсь - сетевая карта работает, lsmod показывает r8101 Только начал радоваться, как обнаружил, что при попытке рестарта сети, или просто выключения/перезагрузки машины, наблюдаю следующее: Deconfiguring network interfaces... [688.271434] BUG: soft lockup - CPU#1 stuck for 61s [ifconfig:2703] [753.767434] BUG: soft lockup - CPU#1 stuck for 61s [ifconfig:2703] [819.267434] BUG: soft lockup - CPU#1 stuck for 61s [ifconfig:2703] Так до бесконечности. Помогает только тыканье в ресет. Чего делать? -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Re: Lenny и D945GCLF - нужна по мощь!
Pavel Ammosov пишет: On Sun, Feb 22, 2009 at 02:49:44AM +0400, Kirill Shatalaev wrote: Приобрёл для роутера эту микроскопическую атомную железяку. Стал ставить на неё debian 5.0. Чего делать? Конкретно с этой платой дела не имел, но с новым железом традиционно помогает установка свежего ядра. Стоит попробовать 2.6.28.x Из тестинг? -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Re: Lenny и D945GCLF - нужна по мощь!
Dmitry Fedorov пишет: 23 февраля 2009 г. 1:29 пользователь Kirill Shatalaev написал: помогает установка свежего ядра. Стоит попробовать 2.6.28.x Из тестинг? из kernel.org Я последнее ядро собрал 5 лет назад и оно было 2.6.8 Не помню какие там галочки тыкать и не хочу вспоминать если честно. -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Re: Проблема загрузки INTEL D945GCLF2
Sergey Kharlamov пишет: Доброго Local time уважаемые! Приобрел себе недавно сие творение инженерной мысли. Железка задумывалась в качестве роутера. Как разберёшься с этой проблемой, готовься к жёсткому сексу со встроенной сетевой. -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Re: Ответ: Проблема з агрузки INTEL D945GCLF2
Sergey Kharlamov пишет: встроенная cетевая заработала сразу... Скажите что я делал не так??? :-D Как заработала, так и перестанет. Попробуй подёргать eth0 down/up несколько раз. Если в какой-то момент пакеты перестанут проходить, при том, что линк горит, и ifconfig показывает что всё нормально - добро пожаловать в клуб. -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Re: Контейнер OpenVZ видит т олько хост
которую я добавил. Но вот проблема вылезла: контейнеры пингуют только хостовую систему (192.168.1.3) но более ничего в сети живого не наблюдается: ни соседняя машина, ни роутер изнутри не видятся, собственно, даже хост не пингует контейнеры. А маршрутизацию-то настраивать за тебя кто будет? -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Re: Контейнер OpenVZ видит т олько хост
veresk пишет: Kirill Shatalaev пишет: которую я добавил. Но вот проблема вылезла: контейнеры пингуют только хостовую систему (192.168.1.3) но более ничего в сети живого не наблюдается: ни соседняя машина, ни роутер изнутри не видятся, собственно, даже хост не пингует контейнеры. А маршрутизацию-то настраивать за тебя кто будет? А вот про это в мане ни слова не сказано! Ни что, ни куда, и вообще, нужно ли. Или как в VBox - всё само пашет. В мане может и нет, но симптомы-то абсолютно понятные. на хосте ip_forward =1 и маршруты в соотв. подсети на контейнере и на хосте. ну и файрволл проверить на всякий случай. -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Re: web серрвер для ноу тбука
Fedir Gontsa пишет: грубо говоря, ищется легкий вариант LAMP как это принято говорить. если вариантов нет поставлю апач, хоть на "большом компе" есть апач со всеми нужными примочками, не хотелось бы дублировать. http://www.apachefriends.org/en/xampp-linux.html Всё в одном. -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Re: web серрвер для ноутбук а
Ээээ Это для тех, кто не осилил команду aptitude install apache2 mysql-server libapache2-mod-php5 php5-mysql ? proftpd забыл. Это комплект разработчика, типа "Денвера", чтоб не тащить всё вышеперечисленное на десктоп с зависимостями и прочим, а просто засунуть всё в одну директорию, и при необходимости в нескольких экземплярах, а когда надо - снести. -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Re: Загрузка модулей
Denis Kostousov пишет: -BEGIN PGP SIGNED MESSAGE- Hash: SHA1 День добрый. Очень давно не работал с дебианом :-) Объясните, плз, как дебиан грузит модули и что нужно сделать, что-бы некоторые модули не грузились. Конкретнее: в компе есть звуковая подсистема, но мне не нужно ее стартовать. Если я правильно понимаю, запуском всего в данном случае рулит udev. Как ему сказать, что не нужно запускать некоторые устройства? На выбор: After the last update on my laptop (Debian Linux, sid) the /hotplug/ package has been purged, because the /udev/ package is providing the hotplug scripts now. Of cause all blacklisted modules from hotplug will be loaded now, which may lead into troubles. For example, I am using /ifrename/ to rename my network interfaces, but the module /eth1394/ - for networking over firewire - screwed up my config, shuffling all the names of my network interfaces. Now, there are a few ways to prevent unwanted modules from loading: * add an entry in /etc/modprobe.conf: |blacklist modulename| * create a file in /etc/modprobe.d/filename with following line: |blacklist modulname| * udev provides a file /etc/modprobe.d/blacklist which prevents the listed modules from loading. I.e. |blacklist modulename| * /Debian specific:/ create a file /etc/hotplug/blacklist.d/filename with the module name in it, in my case: |eth1394| -- С наилучшими, Кирилл Шаталаев. begin:vcard fn:Kirill Shatalaev n:Shatalaev;Kirill email;internet:[EMAIL PROTECTED] version:2.1 end:vcard
Re: Загрузка модулей
Andrey Lubimets пишет: Kirill Shatalaev пишет: На выбор: After the last update on my laptop (Debian Linux, sid) the /hotplug/ ... |eth1394| Это откуда цитата? http://www.notmybeer.com Все способы проверены и работают, в т.ч. и debian specific -- С наилучшими, Кирилл Шаталаев. begin:vcard fn:Kirill Shatalaev n:Shatalaev;Kirill email;internet:[EMAIL PROTECTED] version:2.1 end:vcard
Re: test-овые письма в р ассылку
Dmitri Samsonov пишет: HoverHell пишет: 2. AFAIR где-то в настройках рассылки можно сказать чтобы отправлялась копия собственных писем. Можно поподробнее? Я искал и не нашёл. Думаю с этим в гуглёвский саппорт будет правильнее. Я не заморачивался просто в клиенте (thunderbird) создал правило для почты чтоб копировал отправленное письмо в соответствующую папку и всё. -- С наилучшими, Кирилл Шаталаев. begin:vcard fn:Kirill Shatalaev n:Shatalaev;Kirill email;internet:[EMAIL PROTECTED] version:2.1 end:vcard
Re: test-овые письма в р ассылку
Dmitry Nezhevenko пишет: On Tue, Oct 03, 2006 at 06:22:09PM +0400, Dmitri Samsonov wrote: HoverHell пишет: 2. AFAIR где-то в настройках рассылки можно сказать чтобы отправлялась копия собственных писем. Можно поподробнее? Я искал и не нашёл. Она отправляется.. Просто гугл это письмо не принимает. Варианта собственно 2: либо сменить ящик либо использовать другой (не гугловский) SMTP. Что значит "не принимает"? Всё он принимает, просто не отгружает по POP письма адресованные самому себе. Это IMHO правильно, чего трафик лишний гонять? -- С наилучшими, Кирилл Шаталаев. begin:vcard fn:Kirill Shatalaev n:Shatalaev;Kirill email;internet:[EMAIL PROTECTED] version:2.1 end:vcard
Re: pptp over ppp
Nicholas пишет: Столкнулся с проблемой - не подмимается openvpn киент при диалапном доступе в сеть. Есть мнение что "pptp over ppp" просто делать нельзя. Вопрос: можно ли теоретически поднять openvpn туннель при диалапном соединении? Никаких запретов на поднятие vpn (pptp), gre и openvpn через ppp нет. Можешь подробнее в чём проблема? -- С наилучшими, Кирилл Шаталаев. begin:vcard fn:Kirill Shatalaev n:Shatalaev;Kirill email;internet:[EMAIL PROTECTED] version:2.1 end:vcard
Re: Просмотреть входящие исходящие соединения
netstat iptables Fedor пишет: Здрасте. Чем можно посмотреть какие программы ходят в интернет и к какому IP они подсоединяются, наподобие оутпуста в винде? -- С наилучшими, Кирилл Шаталаев. begin:vcard fn:Kirill Shatalaev n:Shatalaev;Kirill email;internet:[EMAIL PROTECTED] version:2.1 end:vcard
Re: Проверка подписки на debian-list
3. Вообще не использоваться почтовик для чтения рассылки, а использовать news клиент (к примеру knode) и читать рассылку через news сервер gmain Можно подробнее? -- С наилучшими, Кирилл Шаталаев. begin:vcard fn:Kirill Shatalaev n:Shatalaev;Kirill email;internet:[EMAIL PROTECTED] version:2.1 end:vcard
Re: jabber
> ÐÏÓÔÁ×ÉÌ openfire á ÄÌÑ ÎÅÇÏ ÎÁÄÏ jvm? ËÁËÕÀ? -- To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
Что не так с маршрутиза цией?
Имеем: роутер, 2 сетевухи, одна в инет, другая в интранет - как обычно. s...@maingate:~$ ip a s 1: lo: mtu 16436 qdisc noqueue state UNKNOWN link/loopback 00:00:00:00:00:00 brd 00:00:00:00:00:00 inet 127.0.0.1/8 scope host lo inet6 ::1/128 scope host valid_lft forever preferred_lft forever 2: eth0: mtu 1500 qdisc htb state UNKNOWN qlen 1000 link/ether 00:1c:c0:5e:30:2e brd ff:ff:ff:ff:ff:ff inet 192.168.0.1/16 brd 192.168.255.255 scope global eth0 inet 192.168.0.220/16 brd 192.168.255.255 scope global secondary eth0 inet6 fe80::21c:c0ff:fe5e:302e/64 scope link valid_lft forever preferred_lft forever 3: eth1: mtu 1500 qdisc pfifo_fast state UP qlen 1000 link/ether 00:02:b3:8e:ca:c5 brd ff:ff:ff:ff:ff:ff inet 212.32.211.250/30 brd 212.32.211.251 scope global eth1 inet6 fe80::202:b3ff:fe8e:cac5/64 scope link valid_lft forever preferred_lft forever s...@maingate:~$ ip r s 212.32.211.248/30 dev eth1 proto kernel scope link src 212.32.211.250 192.168.0.0/16 dev eth0 proto kernel scope link src 192.168.0.1 default via 212.32.211.249 dev eth1 s...@maingate:~$ ip route get 192.168.20.20 192.168.20.20 dev eth0 src 192.168.0.1 cache mtu 1500 advmss 1460 hoplimit 64 Теперь интересное: s...@maingate:~$ ping 192.168.20.205 PING 192.168.20.205 (192.168.20.205) 56(84) bytes of data. From 212.32.211.250 icmp_seq=1 Destination Host Unreachable From 212.32.211.250 icmp_seq=2 Destination Host Unreachable From 212.32.211.250 icmp_seq=3 Destination Host Unreachable Шо за дела? Ладно, попробуем так: s...@maingate:~$ sudo traceroute 192.168.20.20 traceroute to 192.168.20.20 (192.168.20.20), 30 hops max, 40 byte packets 1 212.32.211.250 (212.32.211.250) 3002.773 ms !H 3002.756 ms !H 3002.736 ms !H Вопрос: за каким хреном он лезет в сеть 192.168.0.0/16 через шлюз по умолчанию? -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Re: Что не так с маршрути зацией?
Если бы он лез через шлюз по умолчанию, ответ приходил бы от 212.32.211.249. А у тебя приходит от 212.32.211.250, т.е.. от localhost. А вот зачем он не с того адреса лезет, это сходу непонятно. Никаких дополнительных таблиц маршрутизации нет, только основная? s...@maingate:~$ ip r s t all 212.32.211.248/30 dev eth1 proto kernel scope link src 212.32.211.250 192.168.0.0/16 dev eth0 proto kernel scope link src 192.168.0.1 default via 212.32.211.249 dev eth1 broadcast 127.255.255.255 dev lo table local proto kernel scope link src 127.0.0.1 local 192.168.0.220 dev eth0 table local proto kernel scope host src 192.168.0.1 broadcast 192.168.255.255 dev eth0 table local proto kernel scope link src 192.168.0.1 local 192.168.0.1 dev eth0 table local proto kernel scope host src 192.168.0.1 broadcast 212.32.211.248 dev eth1 table local proto kernel scope link src 212.32.211.250 broadcast 192.168.0.0 dev eth0 table local proto kernel scope link src 192.168.0.1 broadcast 212.32.211.251 dev eth1 table local proto kernel scope link src 212.32.211.250 local 212.32.211.250 dev eth1 table local proto kernel scope host src 212.32.211.250 broadcast 127.0.0.0 dev lo table local proto kernel scope link src 127.0.0.1 local 127.0.0.1 dev lo table local proto kernel scope host src 127.0.0.1 local 127.0.0.0/8 dev lo table local proto kernel scope host src 127.0.0.1 fe80::/64 dev eth0 proto kernel metric 256 mtu 1500 advmss 1440 hoplimit 4294967295 fe80::/64 dev eth1 proto kernel metric 256 mtu 1500 advmss 1440 hoplimit 4294967295 unreachable default dev lo table unspec proto none metric -1 error -101 hoplimit 255 local ::1 via :: dev lo table local proto none metric 0 mtu 16436 advmss 16376 hoplimit 4294967295 local fe80::202:b3ff:fe8e:cac5 via :: dev lo table local proto none metric 0 mtu 16436 advmss 16376 hoplimit 4294967295 local fe80::21c:c0ff:fe5e:302e via :: dev lo table local proto none metric 0 mtu 16436 advmss 16376 hoplimit 4294967295 ff00::/8 dev eth0 table local metric 256 mtu 1500 advmss 1440 hoplimit 4294967295 ff00::/8 dev eth1 table local metric 256 mtu 1500 advmss 1440 hoplimit 4294967295 unreachable default dev lo table unspec proto none metric -1 error -101 hoplimit 255 -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Re: Что не так с маршрути зацией?
Mikhail A Antonov пишет: Kirill Shatalaev пишет: Имеем: роутер, 2 сетевухи, одна в инет, другая в интранет - как обычно. 2: eth0: mtu 1500 qdisc htb state UNKNOWN qlen 1000 3: eth1: mtu 1500 qdisc pfifo_fast state UP qlen 1000 ethtool что говорит? И как себя поведёт ip l s eth0 up ? s...@maingate:~$ sudo ethtool eth0 Settings for eth0: Supported ports: [ TP MII ] Supported link modes: 10baseT/Half 10baseT/Full 100baseT/Half 100baseT/Full Supports auto-negotiation: Yes Advertised link modes: 10baseT/Half 10baseT/Full 100baseT/Half 100baseT/Full Advertised auto-negotiation: Yes Speed: 100Mb/s Duplex: Full Port: MII PHYAD: 0 Transceiver: internal Auto-negotiation: on Supports Wake-on: pumbg Wake-on: g Current message level: 0x0033 (51) Link detected: yes up/down нормально отрабатывает. -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org
Re: мусор на экране
Добавь "kernel.printk = 3 4 1 7" в /etc/sysctl.conf потом sysctl -p Victor Mayorov пишет: После добавления iptables -A INPUT -m limit --limit 2/sec -j LOG на консоле появляются строки, которые записывает данное правило, каким образом можно избавиться от данного мусора, чтобы на консоль это не выводилось? -- С наилучшими, Кирилл Шаталаев. begin:vcard fn:Kirill Shatalaev n:Shatalaev;Kirill email;internet:[EMAIL PROTECTED] version:2.1 end:vcard
Re: vlan alias
Не использовать алиасы вообще. Пользоваться iproute2. Nizamov Shawkat пишет: Буду весьма признателен если кто-нибудь объяснит как на vlan интерфейсах (802.1q) поднять еще и алиасы - то есть на 1 vlan (с соответствующим vlanid) 2 IP-адреса (из разных сетей) -- С наилучшими, Кирилл Шаталаев. begin:vcard fn:Kirill Shatalaev n:Shatalaev;Kirill email;internet:[EMAIL PROTECTED] version:2.1 end:vcard
dhcp-client вопросы
Всем привет. В файле /etc/network/interfases есть возможность сделать так, чтобы сабж не трогал /etc/resolv.conf? что-то типа опции nodns в Gentoo? -- To UNSUBSCRIBE, email to [EMAIL PROTECTED] with a subject of "unsubscribe". Trouble? Contact [EMAIL PROTECTED]
Re: хранение /home на сервере (coda vs fscache)
Что можно посоветовать ? sshfs? -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/it2gsb$lrt$1...@dough.gmane.org
Re: регистрато р в зоне ru
в импортных зонах таких требований нет Ну смотря в каких. В com, действительно, можно на 10 лет взять. А в других - вовсе даже нет. -- To UNSUBSCRIBE, email to debian-russian-requ...@lists.debian.org with a subject of "unsubscribe". Trouble? Contact listmas...@lists.debian.org Archive: http://lists.debian.org/it5s68$62v$1...@dough.gmane.org
