| Предотвращение DoS атак в FreeBSD |
[исправить] |
* "sysctl -w net.inet.tcp.msl=7500" - время ожидания ACK в ответ на SYN-ACK или
FIN-ACK в миллисекундах;
* "sysctl -w net.inet.tcp.blackhole=2" - все пакеты на закрытый порт
отбрасываются без отсылки RST;
* "sysctl -w net.inet.udp.blackhole=1" - отбрасывать пакеты для закрытых портов;
* "sysctl -w net.inet.icmp.icmplim=50" - защита от генерирование потока ответных пакетов,
максимальное количество ICMP Unreachable и TCP RST пакетов в секунду;
* "sysctl -w kern.ipc.somaxconn=32768" - увеличение числа одновременно открытых сокетов;
* Сборка ядра с опцией DEVICE_POLLING (далее: sysctl kern.polling.enable=1;
sysctl kern.polling.user_frac=50);
|
| |
|
|
Ключи: icmp, poll, tcp, user, udp, freebsd, ip, device, socket, time, sysctl, ipc, dos
|
| Раздел: Корень / Администратору / Система / FreeBSD специфика / Увеличение безопасности FreeBSD |
|
| 1.2, Gezm0 (ok), 02:21, 12/11/2004 [ответить]
| +/– |
 Написано доходчиво и внятно. Интересует, собственно, насколько работоспособно и не убьёт ли сетку на freebsd 5.3-stable. На боевом тазике по граблям ходить боязно, а сымитировать на подопытном сервере работу боевого тазика затруднительно. | | |
| 1.3, NAIR (ok), 00:01, 16/11/2004 [ответить]
| +/– | |
Действительно красиво и просто. Так всё же делал ли кто это на боевой машине? | | |
| 1.4, вот.. (?), 05:12, 16/11/2004 [ответить]
| +/– | |
Я делал, кроме имхо бессмысленного девайс поллинга, только у меня еще и:
options RANDOM_IP_ID
options TCP_DROP_SYNFIN
И в sysctl:
security.bsd.see_other_uids=0
net.inet.tcp.blackhole=2
net.inet.udp.blackhole=1
kern.ipc.somaxconn=1024
net.inet.icmp.drop_redirect=1
net.inet.icmp.log_redirect=1
net.inet.ip.redirect=0
net.inet.tcp.sendspace=32768
net.inet.tcp.recvspace=32768
net.link.ether.inet.max_age=1200
net.inet.icmp.maskrepl=0
| | |
| |
| 2.5, NAIR (??), 21:29, 24/11/2004 [^] [^^] [^^^] [ответить]
| +/– | |
И как помогло? И как понять то , что действительно помогло? | | |
|
| 1.6, Oleg (??), 10:22, 31/03/2006 [ответить]
| +/– |
 Ксли у тебя сетевуха пулинг не поддерживает, это не значит что он бессмысленный девайс. | | |
| 1.7, wp2 (?), 21:42, 04/09/2009 [ответить]
| +/– |
 >sysctl -w net.inet.udp.blackhole=1" - отбрасывать пакеты для закрытых портов
а они что не отбрасываются? А что с ними происходит?
| | |
|