Защита от DDOS атак в golang?

Question

[Роман Ракзин]

Подскажите, как защитить веб сервер на golang от DDOS атак?

Answer 1

[Илья]

При помощи правильно настроенного nginx'а.

Comments

[Роман Ракзин]

Это как-бы понятно. Просто сейчас отдаёт файлы golang.Допустим поставлю и nginx. А более подробно можно?

[Илья]

nginx раздаёт статику, обычно, и проксирует запросы на сервер голэнга. Техник и гайдов куча в интернете. Здесь цитировать смысла нет. Открываете гугл и спрашиваете у него, как защититься от ддос на nginx.

[Oleg Shevelev]

Напоминает историю десятилетней давности когда nginx предлагали добавлять к apache не исключая apache... вопрос о том как делать более безопасные и предсказуемые приложения на Golang сам по себ е интересен и nginx в этом вопросе никак не поможет.

Например если вы залочите один из хандлеров то ни nginx ни что либо другое вам уже не поможет, конкретная страница открываться не будет, как поведёт себя nginx обнаружив такую страницу - вопрос интересный.

[Илья]

Oleg Shevelev: залочить хендлер? Там разве не на каждое обращение новая горутина создаётся?

[Oleg Shevelev]

FireGM: если программист специально этого не сделает. Попробуйте добавить мёртвый цикл в хандлер и посмотреть что будет. Первый коннект пройдёт, второй нет, пока не закончится первый.

[Илья]

Oleg Shevelev: Во-первых, Вы неправы. Забейте обычный хелоуворлд с sleep и проверьте. Каждый запрос открывается в новой горутине, т.е. заблочить никак нельзя, только если специально отстреливать себе ногу, да и то надо постараться. Во-вторых, это никак не связано с ддосом. Почитайте что это. А предлагать отсеивать ботов на уровне приложения, это тоже отстреливать себе ногу.

[Oleg Shevelev]

FireGM: я не предлагаю отсеивать DDOS ботов на уровне исключительно самого приложения. Вывод по поводу горутин у меня возник после лока с WS Upgrade который локонично отрабатывал только один раз. Надо будет поизучать исходники на предмет этого вопроса в любом случае.

Для защиты от DDOS посоветую добавить в арсенал iptables TARPIT (это к вопросу о том читал ли я что-нибудь про DDOS).

[Илья]

Oleg Shevelev: мне кажется, что вы уже про комплексную защиту говорите. Такие нужны только более-менее серьёзным проектам, а там уже должны быть деньги на профессионала. Здесь же, скорее, небольшой сервер за 250-10к рублей, на который идёт ддос с простыми ботами(или даже не идёт). В таком случае, всё решает 80/20. Nginx покрывает многое.
Хотя, может человек просто для расширения кругозора спрашивает, но в данном случае, опять таки, гугл выдаёт достаточно информации.

[Oleg Shevelev]

Всё верно, про комплексную.

Answer 2

[tor22]

При удачной настройке iptables nginx попросту блокирует атакующие адреса и они не нагружают системные ресурсы сервера, ну а для решения серьезных проблем нужная хорошая аппаратная защита. Могу порекомендовать ребят из Simplyway.net, отлично справляются как с ддос атаками так и толково шарят в администрировании.