> Тем, что позволит администратору "принять меры".Так это, по хорошему предотвращать пи---ц хорошо бы слегка до того как он уже наступил.
>> с ливцд. Куда после этого идут ваши лимиты на фаере и
>> как вы вон те 100 конекций отличите от 100 легитимных хомяков?
> Тиоретег. 1) если уж через тор вас можно задосить то вам уже
> никакой веб сервер не поможет.
Чего - тиоретег? Я как раз такую атаку и видел не так давно. Просто как топор, и выкашивает апача на обычном серваке к чертям собачьим. Валится шитец через тор от стандартных утилсвов - кто-то явно освоил их запуск через torify :). Там много траффика не надо - главное соединения занять. А это даже через тор или вечно перегруженные проксики катит.
> 2) вы не читали man на mod_qos.
С нжинксом это нахрен не надо: ему такое до балды и без всяких костылей и их манов. Ну вот вы и читайте маны на костыли для апача.
> 3) запросы от тупых ботов вроде аб благополучно детектируются и
> сливаются в /dev/null не доходя до http сервера динамики.
Круто, круто. А если воткнуть нжинкс с кешированием - то там и вообще сервер динамики вздохнет свободнее, даже если это будет 100500 хомяков ака "хабр-лор-слэшдот-аэффект". А нагрузочная способность апача настолько дрянь что анонимусы обнаглели настолько что топчут его почти голыми руками, просто запустив в браузере js-loic, который честно долбит опач запросами. Судя по тому что они это сделали - апач даже столь ламерским методом валится. По сути несколько обезьян F5 на сайте зажимают, примерно то же самое по смыслу :)
> 4) настоящий дос делает не школота с хабров,
> а ботнетами и там, по большому счету, часто вообще наплевать какой у вас http сервер )
Ну если ботнет большой и способен засрать гигабит - то да, попадос. Но такое внимание еще надо чем-то заслужить. Это требует затрат заметных бабла и/или палит ботнет. Тем не менее, почему-то ряд сайтов будучи досанутыми до состояния почти незагружабельности - резко меняли опач на нжинкс и тут же оживали. Просто наблюдение :).DoS бывают разные. На апача часто делают именно атаку нацеленную на исчерпание ресурсов. Это в 100500 раз проще чем гигабит прислать и делается на коленке из подручных средств любым пионером. Тогда как ботнет способный влить гигабит флуда и всерьез положить канал в ДЦ рядом с IX - на дороге не валяется.
> "хаброэффект", слова то какие. Наверное еще и на рейтинг д..е, гг.
С ником анонимуса? На рейтинг? Лол! :)))
> Доооо. Вот расскажи мне школьнег про кеширование динамического контента в баннерной сети
Ыыы :)) Может вы и баннеры отдаете апачем? Ну озвучьте адреса этой помойки? Надеюсь школьнички потестируют на ваших опачах указанные командочки [не люблю тех кто срет в сети] :)
> или e-магазине.
Не вижу особых проблем закешировать бОльшую часть типичного магазина на поблочном уровне или типа того. Все вообще - разумеется не выйдет. Но действий когда реально надо генерить динамику в интернет-магазинах, дергать БД и прочая - не так уж много. И их можно отсечь от ботов например потребовав регистрацию для работы с корзиной и прочая и просто заворачивая нерегистренных юзеров с такими запросами. Что сделает жизнь ботов намного менее скучной, если их целью было нагрузить сервер динамики и БД :)
А сам по себе список товаров и прочее - относительно статичная сущность, например. Кеширование на допустим минуту никто и не заметит, а вот запрос на перегенерацию страницы раз в минуту - куда лучше чем запрос на перегенерацию страницы 100500 юзерами сразу, одним махом.
> разных бекендов тем же nginx. И давай, давай, расскажи про гиг
> динамики с одной ноды.
Да зачем вам гиг динамики? Оставить тяжелые операции доступные только реганым юзерам, если уж вас атакуют ;). Если под каким-то аккаунтом наглеж - ну вынести аккаунт. А нереганым вообще урезать тяжелые операции. Пусть с кешом побольше общаются.
Могу зато рассказать как видел как досили интернет магазины ламерскими кучками запросами к апачу и они падали. После чего конторы почему-то резко втыкали нжинкс и сайты оживали. Всего лишь наблюдение за жизнью сайтов ;)
> Еще раз - принципиальной разницы _для динамики_ в использовании nginx + php-fpm
> или апаче + mod_php нет. А до них все равно лучше ставить какой либо reverse
> proxy, тот же nginx или варниш.
Нжинксу не требуется реверс перед ним. Он сам отличный реверс и отгружалка статики, собссно. А настройка и майнтенанс (nginx + php) выглядит как-то симпатичнее чем (frontend + apache + php). В каких-то дико нагруженных системах может некий лоадбалансинг и будет иметь смысл но тогда наверное логично его делать сразу DNSом например, чтоб юзеры размазались по фронтэндам и грузили их все равномерно.
> Последний для этих целей (имхо) много удобнее, так как конфигурация намного
> читаемей выходит из-за особенностей работы varnish.
Ничего не скажу особо, т.к. не пробовал. Могу лишь отметить что на читаемость конфига нжинкса я не жалуюсь, как по мне - и читаемо и удобоваримо вполне :). И админить один нжинкс + пых к нему как-то попроще чем фронт+апач+пых, что очевидно просто глядя на число компонентов цепочки. Ну и внедрежка нжинкса на большой числе нагруженных сайтов как бы намекает что он не лыком шит :)
p.s. очередные лучи ненависти вордфильтру. Я так и не понял что за слово его смущает.
Вариант для распечатки
(ok) on 31-Авг-11, 19:39 
