Sergei
я не могу быть уверен, но у меня есть серьезное подозрение на два пункта
1) sendfile люто меняет картину.
2) nginx не забрасывает в память ядра мегабайты.
мне щас нечем подтвердить, потому что я сварщик ненастоящий, но подозрение такое.
Roman
Sergei
так постой
Sergei
лол
Sergei
так подвержен нджинкс slow-read или нет? :)))
Sergei
а то похоже ты доказываешь мне, что подвержен
Roman
так подвержен нджинкс slow-read или нет? :)))
От конфига завит. В дефолте - да. Как только выставишь рейт-лимиты - нет :)
Sergei
вектор, который я тебе описал со слоугетом, ты видимо не считаешь за слоугет? )
Roman
вектор, который я тебе описал со слоугетом, ты видимо не считаешь за слоугет? )
Не считаю, потому что это тупо misconfiguration
Sergei
ну выкрутил ты цифры. атака тоже выкрутила.
Roman
Ну смотри, в случае с prefork типа того же апача тебе никакие крутилки не помогут
Sergei
с тезисом, что нджинкс относительно лучше справляется по сравнению с апачом тут, мне кажется, никто не спорил.
Sergei
а вот тезис "нджинкс неуязвим к slow-get" - немного слишком смел, имхо.
Roman
а вот тезис "нджинкс неуязвим к slow-get" - немного слишком смел, имхо.
Ну так речь о конфигурации.
Sergei
от того, что ты покрутишь цифры и у тебя вместо 100к коннектов будет 10М - кардинально ничего не изменится. оно все равно валится.
Roman
Это не сервер уязвим, а администратор - олень
Roman
от того, что ты покрутишь цифры и у тебя вместо 100к коннектов будет 10М - кардинально ничего не изменится. оно все равно валится.
Ну, давай различать просто коннект и честный http get
Sergei
давай различать. будет 10М клиентов, тянущих по 1 байту в секунду.
Dmitrii
А не кто не подскажет, где есть дешевые сервера с большим стораджем?
Dmitrii
В смысле, дешевле чем в Hetzner
Ivan
дешевле чем в хецнер скорее всего нет
Ivan
только свое коло из говна и палок, и то не факт
Roman
давай различать. будет 10М клиентов, тянущих по 1 байту в секунду.
Ну 10млн - это ни разу не проблема
Sergei
ох ё. мне кажется, мы не понимаем друг друга. я говорю тебе лишь о том, что ты цифры покрутишь, а атака вырастет. и все равно сожрет все сокеты, которые у тебя разрешено открывать нджинксу.
Sergei
относительно интересный тредик: https://forum.nginx.org/read.php?21,220931,220931#msg-220931 , вангую, что ты читал и им вдохновлялся.
Roman
ох ё. мне кажется, мы не понимаем друг друга. я говорю тебе лишь о том, что ты цифры покрутишь, а атака вырастет. и все равно сожрет все сокеты, которые у тебя разрешено открывать нджинксу.
Да блин, ну как сожрет? Сокет - это копейки на фоне его буфера в ядре
Sergei
мм (посмотрел на 512 гб памяти в сервере). буферов тоже хватит.
Alexander
А не кто не подскажет, где есть дешевые сервера с большим стораджем?
OVH там есть кастомизированные серваки , можно кучу дисков напихать
Alexander
ну, раньше можно было
Roman
ох ё. мне кажется, мы не понимаем друг друга. я говорю тебе лишь о том, что ты цифры покрутишь, а атака вырастет. и все равно сожрет все сокеты, которые у тебя разрешено открывать нджинксу.
Я пытаюсь донести мысль, что любой DoS - это вопрос ресурсов нападающего и атакуемого.
Sergei
факт
Roman
Чтобы организовать slow read с 10 млн коннектов надо очень сильно заморочиться
Dmitrii
OVH там есть кастомизированные серваки , можно кучу дисков напихать
Не, все равно дорого. Мне дорого все что больше 50 баксов )
Roman
При этом, все это срубается на атакуемой стороне крайне просто рейт-лимитами
Aleksandr
Не, все равно дорого. Мне дорого все что больше 50 баксов )
попробуй soyoustart, но не жди премиум поддержки
Dmitrii
Я сам себе поддержка )
Dmitrii
Ща гляну у них че есть, спасибо
Aleksandr
у меня есть с ними пара проектов, в целом всё хорошо, могу ответить на вопросы в привате
Ivan
на сюс не будет винтов больше чем на хецнере за 50 баксов
Aleksandr
client_body_timeout
client_header_timeout
Sergei
и что будем ставить? 10ms?
Sergei
поставим 1s даже - отрубим заметную часть мобилок.
ставим 2s и имеем клиентов, которые тащат 1 байт в секунду
Aleksandr
серебрянной пули нет, включать по ситуации
Ivan
оченьь редко когда слоу рид приходит большими партиями
Ivan
обычно ими школота балуется
Aleksandr
я, конечно, тоже согласен, что тезис "есть неподверженные этому веб-сервера" не совсем верен
Ivan
ну и рубится спокойно лимитами на коннекты с одного айпи )
Sergei
оченьь редко когда слоу рид приходит большими партиями
udp-флуд приходит на 100 гбит тоже редко. но настолько, сука, метко...
Ivan
да фигня
Ivan
чаще чем слоу рид хоть какой-то серьезный ботнетом в больше чем 20-100 машин
Sergei
если на бордере не порубил - то до тебя запросы даже не дойдут.
а сервер будет себя хорошо чувствовать :)
Ivan
ну и этот слоу рид обычно идет в тыщу потоков с айпи, и тут же убиваются лимитами
Ivan
а там по вкусу в бан )
Sergei
кстати.
https://github.com/opendp/dpdk-nginx использовал кто-нибудь?
Sergei
раз уж пошла такая пьянка.
Ivan
ну короче чтобы слоу рид был успешен надо очень большой ботнет. Атака чутка недооценена, но может кто-то и вспомнит про нее скоро
Ivan
особенно с учетом последних ботнетов на устройствах видеонаблюдения или что там шумело недавно
Vladimir
ну короче чтобы слоу рид был успешен надо очень большой ботнет. Атака чутка недооценена, но может кто-то и вспомнит про нее скоро
ну еще чуть больше IoT'а и вполне возродится
Ivan
да, посмотрим, с этими атаками никогда скучно не бывает )
Ivan
я вот все жду когда этот ботнет либо в паблик утечет, либо просто к нам приедет, любопытно
Dmitrii
Ну чо, тогда наверное надо брать обычные серваки в Hetzner и сетапить их без рейда )
Dmitry
?
Dmitry
Ща
Dmitry
https://m.habrahabr.ru/post/260669/
Dmitry
Я вот про это
Sergei
нет, оно со слоугетом никак не этосамое
Dmitry
Ясн
Vladimir
я вот все жду когда этот ботнет либо в паблик утечет, либо просто к нам приедет, любопытно
чем дальше тем больше будут их собирать.
Vladimir
китайского говна полно
Vladimir
а там секьюрити на высоте, да
Ivan
ну китай вообще по умолчанию можно вырезать из траффика :)
Vladimir
ну китай вообще по умолчанию можно вырезать из траффика :)
дык железки китайцев продают в европе, сша, россии
Roman
udp-флуд приходит на 100 гбит тоже редко. но настолько, сука, метко...
Ну с атакой на полосу понятно что делать.
Ivan
а
Pavel
ну китай вообще по умолчанию можно вырезать из траффика :)
Вся проблема в том, что этот Китай по всему миру
Vladimir
а там дыра на дыре и дырой погоняет
Vladimir
@v2nek я долго буду помнить когда копался в какой-то китайской ip камере, в которой все контролировалось софтиной на плюсах которая на бедном 400МГц процессоре спавнила несколько десятков тредов. А еще ей можно было память попортить если в настройках покопаться