Какие посоветуете действия при DDoS по портам?

Question

[Snowindy]

Здравствуйте, сервер моего сайта начали DDoSить вот таким образом (письмо хостера FirstVDS).

Подскажите пожалуйста предположительные шаги по защите от такой атаки.

Основные источники трафика:
server-54-230-199-142.lhr50.r.cloudfront.net54.230.199.142 120.4M байт в секунду с размером пакета 1368 байт на 55330 порт.
dsl-85-173-212-184.vlz.ru85.173.212.184 23.7M байт в секунду с размером пакета 1480 байт на 20480 порт.
188.93.20.218 18.3M байт в секунду с размером пакета 1443 байт на 59411 порт.
95.213.4.229 14.7M байт в секунду с размером пакета 920 байт на 40607 порт.
V7657.vps.masterhost.ru87.242.115.116 14.2M байт в секунду с размером пакета 1331 байт на 51518 порт.
srv119-131-240-87.vk.com87.240.131.119 13.3M байт в секунду с размером пакета 1277 байт на 37723 порт.
95.213.3.49 7.8M байт в секунду с размером пакета 653 байт на 37717 порт.
95.213.6.227 7.5M байт в секунду с размером пакета 628 байт на 53542 порт.
95.213.4.234 5.5M байт в секунду с размером пакета 1422 байт на 33315 порт.
store.skaditel.ru195.191.238.200 5.3M байт в секунду с размером пакета 1334 байт на 36781 порт.
betta.klerk.ru193.227.241.50 5.2M байт в секунду с размером пакета 1471 байт на 46710 порт.
188.43.72.250 3.8M байт в секунду с размером пакета 1449 байт на 50833 порт.
188.43.72.240 3.4M байт в секунду с размером пакета 1378 байт на 53036 порт.
188.43.72.249 3.2M байт в секунду с размером пакета 1463 байт на 45425 порт.
mega109.z8.ru80.93.54.17 3.1M байт в секунду с размером пакета 1255 байт на 44662 порт.

Answer 1

[Арчи Кузнецов]

Добрый день. если сайт более-менее серьезный, рекомендую обратиться к фильтраторам. Либо хоститься у крупного хостера, который может помочь с защитой от ДДОС

Answer 2

[Дмитрий]

fail2ban
sharm-blog.ru/ubuntu-ddos-protection-iptables.html

Comments

[apkotelnikov]

Не поможет - простым суммированием данных по трафику атаки от провайдера получаем ~2 Gb/s. Врядли физический хост подключен десяткой, а вот 2 гигабитных линка запросто и их уже забили. На хосте эту атаку уже не отбить.

[Snowindy]

apkotelnikov: Я вижу, что все запросы идут по портам, которые не используются приложениями. Может быть, может помочь настройка блока входящих соединений на уровне Firewall?

[apkotelnikov]

Snowindy: Не поможет - проблема не столько в том что хосту плохо от трафика, а в том что нет свободной полосы под легитимный трафик. В Вашем случае можно попробовать обратиться к вышестоящему провайдеру с просьбой заблокировать весь UDP трафик на Ваш адрес. Врядли у вас сайт нуждается в UDP, пострадает DNS, но можно резолвиться через DNS хостера или провайдера. Провадер все равно будет резать трафик идущий на Вас на входе в свою сеть, так что до его DNSа вы доберетесь.

[Snowindy]

apkotelnikov: Но если хост не принимает этот паразитный трафик, то и полоса не загружается, не так? Возможно, будет много запросов на соединение, но они все отвалятся на Firewall, и сами кучи байтов не будут перекачаны.
Или я что-то не так понимаю в UDP?

[apkotelnikov]

Snowindy: UDP тем "хорош" для организации атак на канал, что не устанавливает соединение - атакующему не надо получать ответы - сколько трафика от себя отправил, столько и попало в канал. И совершенно не важно принимает конечный хост этот трафик или нет, все равно он до него дойдет. Дальше вопрос в том у кого канал шире. Естественно "последняя миля" самая узкая, она и забивается.

[Snowindy]

apkotelnikov: Спасибо большое за разъяснение!