Seguinte, não adianta você limitar quantidade de consultas, pois dependendo da regra que você coloca na rede você caba facilitando o flood, por exemplo, você cria uma regra pra x acessos na su rede sem dropar e ai eu vou e flood e sou dropado, beleza, ai subo um script que vai determinar o limite de pacotes que posso enviar e faço o flood trabalhar no limite sem ser dropado, ai o proximo cliente legitimo que logar sera dropado, ou seja, seu servidor não cai, mas posso impedir que os outros clientes acessem.
Tem um pulo do gato: 1. quando o cliente envia o primeiro SYN, envia também um número de 32 bits. chamado número de seqüência (vamos chamar de NS-C, número de seqüência do cliente) 2. quando o servidor recebe o SYN, ele também escolhe um NS para si (NS-S, número de seqüência do servidor) e devolve o pacote com dois números: o seu NS-S e o número de verificação, chamando de ACK (diferente do flag, este tem também 32 bits). Este segundo número nada mais é do que NS-C+1. 3. o cliente, ao completar o handshake, devolve NS-C+1 e NS-S + 1. Tente colocar uma regra baseada em syn cookie ai todo pacote te´ra uma autenticação e evite usar +1, use outro numero. Não resolve totalmente mas podera ajudar a dificultar o DOS Em 11/06/2012 10:55, Eduardo Schoedler escreveu: > Em 11/06/2012, às 00:50, Paulo Henrique BSD Brasil<[email protected]> > escreveu: > >> >> Em 10/6/2012 23:27, Anderson Alves de Albuquerque escreveu: >>> sim, mas os de menores abrangência eu poderia limitar dessa forma. Em >>> alguns casos, eu poderia impedir muitas requisições. Em casos de entupir o >>> link, ai sim procuraria a operadora. >>> >>> >>> >>> >>> Em 10 de junho de 2012 19:16, Eduardo Schoedler<[email protected]>escreveu: >>> >>>> Em 09/06/2012, às 20:18, Anderson Alves de Albuquerque< >>>> [email protected]> escreveu: >>>>> Eu estava pesquisando de como limitar a tentativa de dos com o PF. >>>> DDoS nao eh só controlar a quantidade de consultas por segundo. >>>> >>>> E se o ataque lotar seu link? >>>> Nao adianta você dropar pacotes no seu lado do link, ate porque os pacotes >>>> já cruzáramos já consumiram o seu circuito. >>>> >>>> Na verdade, ataque DDoS você só consegue filtrar com ajuda da sua >>>> operadora. >>>> >>>> Abs. >>>> >>>> -- >>>> Eduardo Schoedler >>>> Enviado via iPhone >> >> Rapaz, ouve a voz da experiência que o Sr. Eduardo possui, se acha mesmo >> que toda consulta a um domínio que administra é feita no seu servidor, >> sinto muito informar que não, há tanto DNS cache espalhado a começar >> pelas operadoras. >> >> Coloque a seguinte consideração. >> Usuário hosti -> provedor pequeno ( DNS-Cache 1 ) -> Provedor grande ( >> DNS-Cache 2 ) -> operadora internacional ( DNS-Cache3 ) -> Internet -> >> sua operadora. >> >> Como pode ver a chance de limitar ação por tempo de consulta simultâneas >> em seu DNS é muito insuficiente. >> Contudo, utiliza os IPs no qual fizeram a consulta e colocá-los em >> blackrole é algo que mistigaria rapidamente a capacidade do DDOS. >> Mais ai haja integração de IDS/IPS/FIREWALL/DNS, contudo ainda dependerá >> das blackrole. > Só para enriquecer essa thread: esta rolando na NANOG uma thread sobre como > montar um servidor DNS recursivo aberto. > > http://mailman.nanog.org/pipermail/nanog/2012-June/048984.html > > -- > Eduardo Schoedler > Enviado via iPhone > ------------------------- > Histórico: http://www.fug.com.br/historico/html/freebsd/ > Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd ------------------------- Histórico: http://www.fug.com.br/historico/html/freebsd/ Sair da lista: https://www.fug.com.br/mailman/listinfo/freebsd
