Падает сервер. Как заблокировать ботов?

Question

[sarkis3]

Здравствуйте.
Из-за нагрузки от ботов (которые ищут уязвимости) падает сервер . В логах видно, что множественные запросы с IP
20.252.4.193
89.187.162.69

Оба блокирую через htaccess . Но нагрузка не падает . В логах видно, что сервер отдает либо 400 либо 403 ответ .
Подскажите, где искать причину ?
И еще , как мне понять, какую страницу запрашивает бот в данном запросе

20.252.4.193 - - [04/Apr/2024:16:56:10 +0300] "\x16\x03\x01\x01\x02\x01\x00\x00\xFE\x03\x03\xC59\x12\x97\xF3\x90&\xE9\x97z\x00\xBC\xC4\x03\x1B\xF7-6\x83\xD3\x05\xD9Y\x8B'Irv\xB5\x03\x10\x99\x00\x00p\xC0/\xC0+\xC00\xC0,\x00\x9E\xC0'\x00g\xC0(\x00k\x00\xA3\x00\x9F\xCC\xA9\xCC\xA8\xCC\xAA\xC0\xAF\xC0\xAD\xC0\xA3\xC0\x9F\xC0]\xC0a\xC0W\xC0S\x00\xA2\xC0\xAE\xC0\xAC\xC0\xA2\xC0\x9E\xC0\x5C\xC0`\xC0V\xC0R\xC0$\x00j\xC0#\x00@\xC0" 400 157 "-" "-"

Comments

[psiklop]

Не сталкивался, но насколько мне известно ip блокируют в файерволе, а не Апаче.

[Everything_is_bad]

блокируй уровнем ниже, фаерволом системы

[ValdikSS]

Это TLS ClientHello. Кто-то пытается открыть ресурс по HTTPS.

Answer 1

[AUser0]

Эти два адреса не запрашивают HTTP-страницу, они просто шлют какой-то мусор, который и отображается в логах сразу после даты, внутри двойных кавычек.

И Apache должен бы справляться с такими "запросами" с лёгкостью. Конечно если их не 100500 штук за 5 секунд.
А что бы такой мусор не ломал сервер, IP нужно блокировать на сетевом уровне, например командой

iptables -I INPUT -s 20.252.4.193,89.187.162.69 -j REJECT

Comments

[Maksim Herasim]

Вы даете рыбку, а лучше удочку в виде блокировки более 10 пакетов в секунду с одного ip

[AUser0]

Maksim Herasim, ааа-а-автомобиль команды - в студию!

[Maksim Herasim]

AUser0, с iptables плохо знаком, но могу команду для микротика написать)

[AUser0]

Maksim Herasim, эх, ну вот всё приходится за вас вспоминать и за вас делать...

iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 10 -j REJECT

будет отбрасывать 11, 12, 13 и т.д. одновременно (параллельно) создаваемый коннект с одного IP-адреса.

P.S. Но пользователи каких-нибудь крупных организаций и провайдеров, сидящие за одним IP, будут не довольны таким ограничением...

Answer 2

[Drno]

Блокируй iptables...

Answer 3

[Владислав Лысков]

fail2ban же, ну а вообще нагрузка от этих ботов это капля в море, от неё ничего не должно падать