Khi trước em có đọc bài viết của anh commale về loạt phóng sự tấn công HVA. Muốn hỏi kỹ hơn với anh về việc giới hạn số lượng kết nối trên 1 IP, anh có thể nói rõ hơn 1 chút ko ạ

cám ơn anh nhiều
 

bác conmale hay bắt bẻ lời lẽ lắm
chú ý cảnh giác trước khi dùng,
hicc không biết bác conmale có vợ chưa... có rùi thì cũng khổ người ta...
() 

Khi trước em có đọc bài viết của anh commale về loạt phóng sự tấn công HVA. Muốn hỏi kỹ hơn với anh về việc giới hạn số lượng kết nối trên 1 IP, anh có thể nói rõ hơn 1 chút ko ạ

cám ơn anh nhiều
 

#cd /usr/src
#wget http://dominia.org/djao/limit/mod_limitipconn-0.04.tar.gz
#tar xzvf mod_limitipconn-0.04.tar.gz
#cd mod_limitipconn-0.04 

# pico Makefile

APXS=apxs

APXS=/usr/local/apache/bin/apxs

#make
#make install
#service httpd restart
#pico -w /etc/httpd/conf/httpd.conf 

<IfModule mod_limitipconn.c>
<Location /somewhere>
MaxConnPerIP 3
# exempting images from the connection limit is often a good
# idea if your web page has lots of inline images, since these
# pages often generate a flurry of concurrent image requests
NoIPLimit image/*
</Location> 

Nếu không muốn dùng connlimit thì vẫn có thể dùng -m limit có sẵn trong base của netfilter. Dùng -m limit và --limit-burst cho các gói SYN đi vào để giảm thiểu số lượng truy cập (mới) tiếp tục được tạo ra.  

Maxclients
Timeout
MaxKeepAliveRequests
KeepAlive 

Một điều rất lạ ở đây ví dụ em sử dụng Squid để làm proxy server thì IP của em có địa chĩ ví dụ : 10.1.50,6 và một IP cũng trực thuộc Squid này ví dụ như 10.1.50.17 nhưng ở IP đầu tiên của em truy cập vào máy chủ không bao giờ được, còn đối với 10.1.50.17 thì nó vào rầm rầm . Tại sao có chuyện lạ lùng thế này, em đang tìm câu trả lời nhưng hiện tại cũng không biết trả lời tại sao có hiện tượng lạ lùng này . Anh gặp hay thường làm với server của HVA thì cho em một lời khuyên . Thú thật tìm hoài mà chẳng biết giải thích lỗi này phải giải quyết ra sao ?
 

Chào anh !
Trước hết cám ơn anh giải thích ở phần module mod_limitipconn .
Vâng quả đúng như anh nói, khi cài đặt mod_limitipconn và mod_security máy chủ trì trệ hơn mức bình thường và khi cài đặt module mod_evasive cho server thì máy chủ càng trì trệ hơn . Bình thường CPU load ở mức 0,98 tuy nhiên khi cài đặt 2 mod này vào, máy chủ luôn luôn chiếm trên 2,0 (máy chủ này chĩ có 1 mình em truy cập và sử dụng, em chưa test thử trên server khác vì chưa đủ tự tin để quậy)
 

Một điều rất lạ ở đây ví dụ em sử dụng Squid để làm proxy server thì IP của em có địa chĩ ví dụ : 10.1.50,6 và một IP cũng trực thuộc Squid này ví dụ như 10.1.50.17 nhưng ở IP đầu tiên của em truy cập vào máy chủ không bao giờ được, còn đối với 10.1.50.17 thì nó vào rầm rầm . Tại sao có chuyện lạ lùng thế này, em đang tìm câu trả lời nhưng hiện tại cũng không biết trả lời tại sao có hiện tượng lạ lùng này . Anh gặp hay thường làm với server của HVA thì cho em một lời khuyên . Thú thật tìm hoài mà chẳng biết giải thích lỗi này phải giải quyết ra sao ?
 

Còn ở chổ này không liên quan đến module và nhưng dính dáng đến cấu hình Apache, nhân tiện cho em hỏi ké .

Maxclients
Timeout
MaxKeepAliveRequests
KeepAlive 

Em thấy Maxclients cho phép tối đa là 256 , Timeout ví dụ thời gian nó tính bằng giây, em thiết lập là 200 . Các thông số này em điều chĩnh ra sao để cho phù hợp với một server thường xuyên bị SYN attack đây anh ? Bài toán, server có trên 20.000 lượt truy cập trong 1 ngày và khoãng 300-400 lượt truy cập cùng 1 lúc . Em phải thiết lập cấu hình cho các thông số này ra sao để đáp ứng các nhu cầu trên. :wink:
Vì hiện tại theo em nghĩ các module mà mình cài đặt ở trên cũng chưa đủ đáp ứng các cuộc DDOS, nếu đáp ứng được thì anh cũng đâu lao tâm lao lực như vậy nhĩ. Vậy còn "bí kiếp" nào nữa không anh để hạn chế ở mức thấp nhất các cuộc tấn công này .

Cám ơn anh .  

Nếu em đang dùng apache 1.3.x mà còn phải trông cậy vào mod_limitipconn và mod_evasive thì chắc chắn apache... thê thảm. Lý do: apache 1.3.x chạy hoàn toàn ở chế độ prefork (cái này tương đương với MPM Prefork trên apache 2.x). Hai cái mods này chỉ nên dùng để phụ trợ cho các tầng bảo vệ thấp hơn (như trên iptables chẳng hạn). Nếu em dựa hoàn toàn vào 2 mods trên để phòng thủ thì sẽ bị nguy ngập nếu tài nguyên máy chủ kém.

Tình hình càng trì trệ hơn nữa vì apache 1.3.x "hard code" số lượng MaxClients trong mã nguồn là 256. Cho dù requests "vi phạm" bị 2 mods trên cản nhưng trên socket vẫn bị sử dụng. Con số 256 MaxClients sẽ bị sử dụng nhanh chóng và dẫn đến tình trạng người dùng không thể truy cập được trang web của em. Cách giải quyết nó là phải gia tăng MaxClients. Tổng quát như sau:
- Em phải download mã nguồn của apache 1.3.x nào đó em đang dùng về.
- điều chỉnh src/include/httpd.h và tìm dòng: #define HARD_SERVER_LIMIT 256 rồi đổi nó thành giá trị nào đó cao hơn. Đừng tham lam mà đưa vào giá trị vài ngàn nếu máy chủ của em không có nhiều RAM. Nên thử giá trị 500 trước.
- Compile lại apache với đầy đủ các mods em đang dùng rồi thử lại xem. 

Trước hết sorry vì em hỏi lang man một hồi ... lang thang đến tận trung đông và đi ra ngoài thread yêu cầu .
Máy chủ của em hàng xài rồi, mua thanh lý từ một công ty nọ . CPU 2,4Ghz và Ram chĩ có 1GB, em cài đặt Apache 1.3.x thay vì 2.x.

Ở điểm này em đang thắc mắc, nếu máy chủ có cấu hình quá kém như thế thì em nên hay không nên nâng cấp Apache lên 2.x và việc triển khai 2 mod ở trên có cấn thiết cho máy chủ có cấu hình thấp như trên không anh ?
 

Giải pháp bảo mật phòng chống DDOS attack giảm thiểu ở mức thấp nhất cho các máy chủ có cấu hình như trên khi cứ "đón nhận" hơn vài ngàn request thì mình phải làm những gì tiếp theo hả anh . Nếu tình trạng máy chủ cứ ứ đọng các request này, Apache không kịp xữ lý các request này thì không lâu sao hiện tượng crash server, crash RAM là điều sẽ xãy ra . :cry:
Anh có thể cho em lời khuyên về việc mình cần tham khảo tài liệu nào để hạn chế ở mức thấp nhất khi apache không kịp request các connection dẫn đến tình trạng ứ đọng trên server - server sớm muộn gì cũng tiêu tùng .
 

Em làm xong anh dặn, điều chĩnh lại giá trị trên và download patch mod_limitipconn về và built lại apache (bao gồm các bài viết của anh về Apache, Kernel bên diendantinhoc của bro nbt) nhưng CPU load ở mức 1,8 (Apache này em chĩ thêm có 3 mudule đó là mod_limitipconn, mod_evasive và mod_security)

Sau đó em xóa bỏ 2 module này thì hiện tại load server ở mức bình thường . CPU giảm thiểu ở mức xuống còn từ 1,1 đến 1,2 và em có thiết lập HARD_SERVER_LIMIT thành 512
 

Chổ này KeepAliveTimeout hiện tại em thiết lập nó thành 10, OK em điều chĩnh nó lại .
KeepAliveTimeout = Thời gian chờ cho 1 request tiếp theo từ 1 client nào đó và nó cũng được tính bằng giây

Cám ơn anh 

Apache từ dòng 2.x trở đi đã nâng cao rất nhiều, đặc biệt là phần MPM (Multi-Processing Module). Thay vì dùng prefork như 1.3.x (1.3.x chỉ có prefork), em có thể dùng worker hay perchild. Nếu dùng với php thì nên dùng worker mpm vì nó có dạng hybrid (vừa là multi-thread vừa là multi-process) web service. Chọn module này cho phép apache có khả năng đối phó với DDoS tốt hơn apache 1.3.x prefork rất nhiều.