URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 4618
[ Назад ]

Исходное сообщение
"Раздел полезных советов: Предотвращение DoS атак в FreeBSD"
Отправлено auto_tips , 11-Ноя-04 21:27

* "sysctl -w net.inet.tcp.msl=7500" - время ожидания ACK в ответ на SYN-ACK или FIN-ACK в миллисекундах;
* "sysctl -w net.inet.tcp.blackhole=2" -  все пакеты на закрытый порт отбрасываются без отсылки RST;
* "sysctl -w net.inet.udp.blackhole=1" - отбрасывать пакеты для  закрытых портов;
* "sysctl -w net.inet.icmp.icmplim=50" - защита от генерирование потока ответных пакетов,
      максимальное количество  ICMP Unreachable и TCP RST пакетов в секунду;
* "sysctl -w kern.ipc.somaxconn=32768" - увеличение числа одновременно открытых сокетов;
* Сборка ядра с опцией DEVICE_POLLING (далее: sysctl kern.polling.enable=1; sysctl kern.polling.user_frac=50);
URL: http://www.bsdportal.ru/viewtopic.php?t=3322
Обсуждается: http://www.opennet.me/tips/info/748.shtml

Содержание

Предотвращение DoS атак в FreeBSD,AoL, 21:27 , 11-Ноя-04
Предотвращение DoS атак в FreeBSD,Gezm0, 02:21 , 12-Ноя-04
Предотвращение DoS атак в FreeBSD,NAIR, 00:01 , 16-Ноя-04
Предотвращение DoS атак в FreeBSD,вот.., 05:12 , 16-Ноя-04
- Предотвращение DoS атак в FreeBSD,NAIR, 21:29 , 24-Ноя-04
Предотвращение DoS атак в FreeBSD,Oleg, 10:22 , 31-Мрт-06
Предотвращение DoS атак в FreeBSD,wp2, 21:42 , 04-Сен-09

Сообщения в этом обсуждении

"Предотвращение DoS атак в FreeBSD"
Отправлено AoL , 11-Ноя-04 21:27

А какой смысл device polling'а?

"Предотвращение DoS атак в FreeBSD"
Отправлено Gezm0 , 12-Ноя-04 02:21

Написано доходчиво и внятно. Интересует, собственно, насколько работоспособно и не убьёт ли сетку на freebsd 5.3-stable. На боевом тазике по граблям ходить боязно, а сымитировать на подопытном сервере работу боевого тазика затруднительно.

"Предотвращение DoS атак в FreeBSD"
Отправлено NAIR , 16-Ноя-04 00:01

Действительно красиво и просто. Так всё же делал ли кто это на боевой машине?

"Предотвращение DoS атак в FreeBSD"
Отправлено вот.. , 16-Ноя-04 05:12

Я делал, кроме имхо бессмысленного девайс поллинга, только у меня еще и:
options RANDOM_IP_ID
options TCP_DROP_SYNFIN
И в sysctl:
security.bsd.see_other_uids=0
net.inet.tcp.blackhole=2
net.inet.udp.blackhole=1
kern.ipc.somaxconn=1024
net.inet.icmp.drop_redirect=1
net.inet.icmp.log_redirect=1
net.inet.ip.redirect=0
net.inet.tcp.sendspace=32768
net.inet.tcp.recvspace=32768
net.link.ether.inet.max_age=1200
net.inet.icmp.maskrepl=0

"Предотвращение DoS атак в FreeBSD"
Отправлено NAIR , 24-Ноя-04 21:29

И как помогло? И как понять то , что действительно помогло?

"Предотвращение DoS атак в FreeBSD"
Отправлено Oleg , 31-Мрт-06 10:22

Ксли у тебя сетевуха пулинг не поддерживает, это не значит что он бессмысленный девайс.

"Предотвращение DoS атак в FreeBSD"
Отправлено wp2 , 04-Сен-09 21:42

>sysctl -w net.inet.udp.blackhole=1" - отбрасывать пакеты для закрытых портов
а они что не отбрасываются? А что с ними происходит?