В группе есть традиция - не работать по специальности :)

Тогда накой она нужна?

#whois - Работаю в sports.ru - front-end разработчик - Москва

ку, добрый день)) кто как защищается от slowhttptest в nginx ?

понятно есть limit_conn_zone но вопрос еще способы ?

ку, добрый день)) кто как защищается от slowhttptest в nginx ?

А зачем?

А зачем?

точнее даже от slow http

В nginx это какой смысл делать?

Вектор атаки какой?

атака на dos

легко проводится данной утилитой

атака на dos

Опиши ее плз

Эту атаку

атака на dos

на ms-dos?

Я тебе дам домен - давай, проведи ее этой утилитой

ну если серьезный хостинг там все настроено

если просто свой сервер, то давай

проверимс

ну если серьезный хостинг там все настроено

Нет, никаких лимитов там нет

А что такое slow http? расскажите плз

давай проверим

если просто свой сервер, то давай

Давай, http://setup.ru

ахаха)) я думаю не получится , ну давай

ахаха)) я думаю не получится , ну давай

Я тоже думаю, что не получится

Но, еще раз - никаких лимитов там нет

Как работает данная атака?

конечно, есть

есть количество воркеров, и количество коннектов на воркер

конечно, есть

Я их старательно выпиливал

Как работает данная атака?

А что это вообще такое?

ща придут тебе расскажут ) про ограничение коннекшенов на nginx

Я по образованию маста оф саенс

Рокет?

есть количество воркеров, и количество коннектов на воркер

А - это есть

если все эти сокеты занять - будет dos

Рокет?

Сомпута

у тебя там выкручено сильно

Найс

поэтому с моего серва не потянет

если все эти сокеты занять - будет dos

Ну - если так сделать, то да

ооо на 8к упало

все упал твой сайт

но отэтой херни нет защиты и не может быть

но отэтой херни нет защиты и не может быть

Да, все так

То есть - дудос так устроить вообще не вопрос

в логах 500 ошибку ищи

все упал твой сайт

у меня его сайт по прежнему открывается )

ну там 2 сек было

в логах 500 ошибку ищи

и адрес атакера

да и адреса

мне не очень интересно, если честно

потому как мне очевидно, как это работает

Но ты же понимаешь - если это просто DOS, то мы тебя просто по адресу забаним

ну дык меня интересует защита

а не атак

А если у тебя 5000 разных адресов, мы хрен что сделаем

это и так понятно

Ну вот - хорошо написанный бот гарантированно сайт положит

когда выкручено сильно все, нужен посерьезнее канал или несколько адресов

nginx не предназначен для детектирования таких ситуаций

пишут по ip + юзер агент+ хедер можно ограничить коннекшены,

можно

сейчас так сделал у себя, но гы кривой способ

Тупо потому что тяжело отличить легитимного от нелегитимного

nginx не предназначен для детектирования таких ситуаций

а если конкурирующая фирма вам захочет такой подарок сделать?

сейчас так сделал у себя, но гы кривой способ

Да

а если конкурирующая фирма вам захочет такой подарок сделать?

Ну - мы за пару часов всех перебьем

а если конкурирующая фирма вам захочет такой подарок сделать?

постоянно делают

Перебьем, но вручную

постоянно делают

как мне везло на тендерах, ни разу такого не было

А вопрос был - как гасить не вручную

Сейчас я отвечу, как

короче никто ничего не делает, просто выставляет на максимум коннекшены, и ждут когда лимиты закончатся

Так и вот

Как это делают пацаны

Тебе понадобится OpenResty или любая другая сборка с mod_lua

Тебе понадобится in-memory storage

Например, Tarantool

короче никто ничего не делает, просто выставляет на максимум коннекшены, и ждут когда лимиты закончатся

а что тут сделаешь?

И тебе понадобится баезовский классификатор

Юзал кто nginx под соусом openresty? Интересует, как через lua задать переменную в nginx'e? ну вроде обычного set $var value только value подставить из результата отработки lua сценария

Написанный заботливыми руками твоей девушки