я специально не занимался тестированием микрота дров в raw (syn) vs дроп в filter (new), но что-то подсказывает, что разница будет на уровне статистической погрешности. если, конечно, каналы у товарища не террабитные

Конечно ваши советы бесценны и мы обязательно прислушиваемся к каждому из них, но я думаю не стоит навязывать людям как им строить сеть. Каждый строит так как считает нужным)

Немного душнины: Я никому ничего не навязываю. Экспериментируйте, изучайте, но пжлста оставляйте это дома. Начитавшись таких групп те "некоторые" потом пишут статьи на тему того: "Отбиваем DDoS с помощью Микротика" и прочий хлам. Потом другие люди устраиваются в какие-то организации и реализуют эти схемы там. Хорошо, если эти схемы привели к простому простою организации (да они потеряли деньги, но другие люди не пострадали). Но куда хуже когда благодаря таким горе экспериментаторам крадут ПД или даже деньги и там последствия совсем другие. Если некий инженер X отказывается делать из маршрутизатора фаерволл защиты – это взрослый поступок. Так же как и взрослый поступок руководителя взять швабру и запихнуть без смазки в ж*пу тому кто пытается такие схемы реализовать.

чуть побольше душнины: никакая железка не защитит от дудоса) когда вам в шнурок наливают мусорного трафика больше, чем этот шнурок может пропустить, отказ в обслуживании возникает не потому, что вы что-то там недодропнули, а потому что на полезный трафик не остается полосы

Я почему-то думаю если у тебя выкуплена полоса даже 100gbe то при атаке в 50+ даже если ты будешь чистить и принимать все, через время вышестоящие начнут локализовывать атаку. Продавая 100gbe канал зачастую даже у магистралов oversale идет. Тот кто может купить такое без oversale - совсем большие ребята и терпеть это не будут Слышал (просто слухи), после того самого февраля дц в рф сплотились и стараются помогать отражать атаки, потому что «сегодня атакуют других, а завтра нас»

а кто прикроет "вышестоящих"?..

У них есть инструменты в том числе дубинка чтобы успокоить любые атаки 😏

а если шнурок выдерживает? например гигатонны голых инвайтов? да со всего мира? да с разным калл-айди? я про взрослых ребят говорил, которые свои каналы в аренду сдают, а не про шулупонь, которая гигабиту радуется

А если у вас такой большой канал вы вряд ли будете использовать MT ;) И вряд ли будете фильтровать трафик на маршрутизаторе. Теперь ответ - почему операторы не фильтруют атаки? 1) все же фильтруют - по сервисному запросу; 2) если его нет, то никто даже не посмотрит на данный трафик, пока он не начнет забивать аплинки оператора - потому что заглядывать внутрь такого потока не просто дорого, а очень дорого. 3) да и фильтруют операторы на своих uplink в bgp, как правило, т.е. опять без серьезных затрат. Это я как в прошлом третья линия оператора говорю

😂срач-стартер, просто спросил, про дроп IP, которые ломятся по портам, и не более 😂 но мне сказали нельзя там дропать, иначе нагрузка будет бесполезная (я так это понял), а потом куча всего понеслась в комок не имеющие отношение к моему вопросу

фильтруют. только разбираются сначала. но то, что я вижу периодически - спам до ферм софтсвичей частенько долетает. это к тому, что нет волшебной железки, есть человек 24/7. например, не ддос. какойнибдь взбесившися софтсвич клиента начинает слать спам rtcp, допустим по 100 сообщений в секунду на каждый вызов. что делаем? режем? на каком уровне? там же ещё и rtp идёт бок о бок. всё режем? ок. а если клиента зовут сбер или тинькофф, к примеру? или фсо какое?

мой посыл-то был спросить срач-стартера про его ТУ. может его канал это спарка E1 на крониксах каких. достаточно микрота? или же экран прикупить? а может у него 100гбе. и так далее. что касается "можно ли резать в рау". ответ можно. нужно? если только сильно хочется. но нужно помнить, что рау это работа с заголовками л2/л3 ДО фильтрации/маршрутизации, или же на выходе, после всего, а фильтрация л2/л3, все же - в фильтер. но в принципе - можно

Ответ: Наш аплинк забит - нет просто - ничего не делаем. Наш сервис деградирует - нет, пока ничего не делаем На фаере, если он конечно, есть - изначально есть защита по числу соединений, что: а) отбросит часть мусора б) заблокирует источник, по желанию администратора автоматически и данный список можно будет предоставить вашему оператору для блокировки.

после этого вас, и вашего непосредственного, отправят на улицу в тот же день

фильтруют. только разбираются сначала. но то, что я вижу периодически - спам до ферм софтсвичей частенько долетает. это к тому, что нет волшебной железки, есть человек 24/7. например, не ддос. какойнибдь взбесившися софтсвич клиента начинает слать спам rtcp, допустим по 100 сообщений в секунду на каждый вызов. что делаем? режем? на каком уровне? там же ещё и rtp идёт бок о бок. всё режем? ок. а если клиента зовут сбер или тинькофф, к примеру? или фсо какое?

Ну как минимум если такое замечают то есть о чудо возможность написать/позвонить и спросить а-ля: ребят, вы там в курсе что у вас там что-то очень-не-очень Я не сбер и не тинькофф, и ЖАЛЬ что не фсо, но дц спрашивает меня все ли норм, видим странную активность

Ну как минимум если такое замечают то есть о чудо возможность написать/позвонить и спросить а-ля: ребят, вы там в курсе что у вас там что-то очень-не-очень Я не сбер и не тинькофф, и ЖАЛЬ что не фсо, но дц спрашивает меня все ли норм, видим странную активность

Если вы действительно крупный бизнес, то у вас есть: а) круглосуточная поддержка ваших двуx или трёх операторов; б) ваша it-инфраструктура проходит два или чаще раза в год аудит безопасности; в) при этом безопасность не состоит только из фильтрации трафика - это максимум 1/4 из возможных угроз; г) аудит накладывает на вас ЯВНЫЕ инфраструктурные решения в которых фильтрация трафика на маршрутизаторах исключена по определению; --- Далее мой опыт борьбы с DDOS. 1) Вижу сначала алерты из мониторинга, говорящие о перегрузке одного из операторов; 2) вижу алерты по числу отброшенных соединений внешним фаером, вижу источники; 3) начинаю реагировать - определяю AS атакующего или как его там назвать, запрещают примем анонсов от них с аплинков по as-path. 4) на фаерах пишу маршрут по умолчанию в сторону другого оператора, НЕ меняя глобально свое анонсирование. Да так плохо и асиметрия - но я под атакой. 5) Более менее ожило - звоним своему менеджеру чтобы будил админа из uplink, говорим - пожалуйста заблокируйте трафик от данной AS нам на вход. Курим 49 минут - видим результат, ложимся спать. Утром разгребаем последствия.

какой смысл этого?

Если вы действительно крупный бизнес, то у вас есть: а) круглосуточная поддержка ваших двуx или трёх операторов; б) ваша it-инфраструктура проходит два или чаще раза в год аудит безопасности; в) при этом безопасность не состоит только из фильтрации трафика - это максимум 1/4 из возможных угроз; г) аудит накладывает на вас ЯВНЫЕ инфраструктурные решения в которых фильтрация трафика на маршрутизаторах исключена по определению; --- Далее мой опыт борьбы с DDOS. 1) Вижу сначала алерты из мониторинга, говорящие о перегрузке одного из операторов; 2) вижу алерты по числу отброшенных соединений внешним фаером, вижу источники; 3) начинаю реагировать - определяю AS атакующего или как его там назвать, запрещают примем анонсов от них с аплинков по as-path. 4) на фаерах пишу маршрут по умолчанию в сторону другого оператора, НЕ меняя глобально свое анонсирование. Да так плохо и асиметрия - но я под атакой. 5) Более менее ожило - звоним своему менеджеру чтобы будил админа из uplink, говорим - пожалуйста заблокируйте трафик от данной AS нам на вход. Курим 49 минут - видим результат, ложимся спать. Утром разгребаем последствия.

Мои сервисы перестают ему отвечать.

но к вашим сервисам трафик всё равно летит + ваши сервисы так же отвечают, ну или хотя бы пытаются установить соединение, пакеты умирают где то на вашем роутере, или так же улетают по дефолтным маршрутам

Вот человек реально решал подобные вопросы, наверное. P.S. Поверьте не ЖАЛЬ :)

Были разные истории, самая красивая и с юмором когда за 25 минут дц успел: 1. Сообщить о нелегетимном трафике 2. Попытаться у себя перекрыть 3. Сообщить дальше (они закрыли одну подсеть, полетел траыик с другой, но на одной AS) 4. Дальше магистрал на другой части земли успел наехать на дц откуда шторм и там закрыли вопрос 5. Написали мне о результатах своих приключений и закрыли инцидент. Я в этот момент успешно спал. И я бы хотел сказать что 500 миллионов террабит трафик шел..не, просто 150мбит брутфорс с одной подсети. И самое главное, я не плачу за DDoS защиту и ее нет бесплатной. Видимо повлияло то что в дц закрыв первый раз поняли что пахнет горелым раз закрыли и атака поехала дальше. Так-то системы аналитики не стоят на месте, умеют просто по нестандартным всплескам находить аномалии за минуты. Так и в этот раз было.

зато пофлудили в клубе Микротика на тему того, что Микротики никуда не годятся... лучше расскажите, ставите ли ловушки на портах, чтобы если их кто-то проверяет, то бан, дабы не нашли то, что на нестандартных стоит?

Нет, в этом нет смысла. Пожалуйста посмотрите выше мой конфиг. Он родился не не пустом месте а как адаптация требований после аудита по аналогии с вендором на букву Ц. Не реклама.

зато пофлудили в клубе Микротика на тему того, что Микротики никуда не годятся... лучше расскажите, ставите ли ловушки на портах, чтобы если их кто-то проверяет, то бан, дабы не нашли то, что на нестандартных стоит?

Вы думаете что если у вас на нестандартном что-то стоит это не найдут если вы будете банить? А вы не думали к примеру на тему: если что-то долго искали на нестандартном порту это что-то станет куда более интересным для взлома?

Вы думаете что если у вас на нестандартном что-то стоит это не найдут если вы будете банить? А вы не думали к примеру на тему: если что-то долго искали на нестандартном порту это что-то станет куда более интересным для взлома?

хотя бы просто боты не быстро выйдут на брутфорс, если диапазон адресов для скана небольшой... я так в Shodan чистый был

Какие все таки разные подходы, я вот как раз жду начала брутфорса

а если уязвимость версии сервиса, а там в Shodan и прочих уже готовый список?

Я об этом не думаю т.к у меня не публичный сервис. Но даже у меня принцип изоляции сделан зоны доступа от зоны критической инфраструктуры. Иногда полезно думать не как закрыться от атаки (т.е как избежать), а как минимизировать потери при успешной атаке. PS: И на мой взгляд куда интереснее создавать механизм изоляции, а не предотвращения. Потому что первое построить идеальное невозможно, а вот второе там полет фантазии.

лучше не давать информацию о существовании изоляции, мало ли...

У вас бот конченый.

Специальный бот для микротиковских чатов который глючит на впн?

Специальный бот для микротиковских чатов который глючит на впн?

За что? Он же пропускает то что я сейчас пишу?

А ответ на ваш вопрос, можно одинаковые маршруты ставить на 2 интерфейса. Вопрос лишь в метрике

Если провайдер офиса упадёт, а я буду на Канарах в это время, то всё я домой не зайду.

Не вижу проблемы. Зачем об этом думать? Упадет и упадет, вы же на Канарах будете.

ТАк мне же придётся их покинуть и ехать поднимать сеть

Купить тот же Fortigate 60f можно на Авито за копейки, потом прочитав серт. курс - вы начнёте понимать, как и что можно фильтровать, как смотреть внутрь протоколов и т.д. и т.п. Потом вам расхочется делать это на маршрутизаторе, потом вам захочется публиковать сервисы через м.э. - а дальше вы будете воспринимать этот мир как я :)