Как заблокировать useragent?

Question

[donater47]

Сайт ддосят такими запросами:

127.0.0.1 - - [27/Feb/2018:00:16:23 +0300] "POST /payment.php HTTP/1.0" 302 0 "-" "-"

127.0.0.1 - - [27/Feb/2018:00:16:24 +0300] "GET // HTTP/1.0" 200 33183 "https://XXXX.ru/" "Mozilla/5.0 (Macintosh; Intel Mac OS X 10_10_5) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/45.0.2454.101 Safari/537.36"

Как их запретить на уровне iptables?

Answer 1

[Борис Сёмов]

Разбирать user agent на уровне iptables не лучшая идея - там проверку будет проходить каждый пакет и это будет весьма накладно по ресурсам. К том же, это не будет работать для https.
Блокировку по user agent можно делать на уровне веб сервера.
Или логировать веб сервером попытки, и блокировать через iptables с помощью fail2ban, например уже по адресу.

Answer 2

[Дмитрий Дарт]

Если там апач веб-сервер, то можно через htaccess заблокировать:

SetEnvIfNoCase user-Agent *Slurp* [NC,OR]
SetEnvIfNoCase user-Agent *Baiduspider* [NC,OR]
SetEnvIfNoCase user-Agent ^DuckDuckBot [NC,OR]
SetEnvIfNoCase user-Agent ^Sogou [NC]

Order Allow,Deny
Allow from all
Deny from env=bad_bot

Comments

[donater47]

Nginx

[Дмитрий Дарт]

donater47, # vim /etc/nginx/nginx.conf

if ($http_user_agent ~* (Windows 95|Windows 98|wget|curl|libwww-perl) ) {
return 403;
}

Answer 3

[Владимир Скибин]

Решите данную проблему на уровне nginx через limit_req а не через UserAgent. Если у Вас подключена внешняя оплата, то при фильтрации UA не будут доходить запросы с нее, поскольку сторинние сервисы не заботяся о простановке UA при информировании статуса оплаты.

Comments

[donater47]

Скорость атаки примерно 200 000 запросов в секунду (L7)
Хз потянет ли nginx такое

[Владимир Скибин]

donater47, еще как потянет, Вы главное не перестарайтесь с базовым ограничением. Это та самая тонкая грань, при которой надо отсечь нелегальные запросы и оставить легальные. У Вас какая "обычная" посещаемость в запросах в сек ?

[donater47]

Владимир Скибин, 1500 уников в день

[Дмитрий Дарт]

donater47, ну при атаке точно не UA а IP надо пользоваться...

[Владимир Скибин]

donater47, Согласен с Дмитрий
Попробуйте через iptables по IP заблочить (если атака с одного IP) и настройте дополнительно limit_req

[donater47]

Вот такая мощность

Answer 4

[Станислав Бодро́в]

grep-ом выбираешь адреса с интересующим UA и в iptables на DROP

Comments

[Анатолий Свободин]

Привет, Станислав.

Подскажите, как это реализовать на практике?

С уважением,
Анатолий