На меня совершили DDoS-атаку, несмотря на то, что у меня используется сторонний сервис для фильтрации трафика, но похоже его как-то обшоли (реального IP ни у кого нет, атака шла именно через туннель IPIP), и в косноль выдало это:
При этом сервер конечно-же не работал.
Количество дроп-пакетов:
TX packets:25129459 errors:0 dropped:1216882 overruns:0 carrier:0
На картинке ничего не видно. Но в любом случае защита от ддос, это самая сложная задача для техподдержки бекэнда.
Если логи не позволяют выработать стратегию банов и внешние сервисы не справляются, то лучше всего исходить из тактики против медведей - притвориться мертвым.
Не ясно какой именно сервис вы предоставляете, но на примере сайта это выглядит так:
- при атаке на домен. сайт переселяется на зеркало
- при атаке на ip, поиедее должны сработать внешние сервисы, но все же, баните все обращения, потом разгребаете.
- при атаке на страницу - делаете её статикой, временно.
Современные технологии почти полностью избавили интернет от внешнего взлома, остается только гадить под дверью т.е. ддосить.
Думаю что при атаке на IP проще сменить IP и уведомить приложения через сторонний сервис о смене IP. А провайдеру передать распряжения блокировать запросы на старый IP. Если вас поливают из пожарого шланга - не надо пытаться сопротивляться потоку - нужно просто отойти в сторону.
Атака всегда направлена в какую то точку это либо IP либо DNS - если меняете dns а атака не прекращается - то надо менять ip. Ключевой момент в том чтобы атакующий не узнал новые параметры сервиса, а пользователи сервиса узнали.
