Вроде как задропать то, что и так повторно не прилетит ) Даже, если дропать любой пакет с атакующего компа, - все равно cpu в 100%

там можно в raw правилом нагрузку снизить

вроде бы

так отозвал и вопрос снят

дык это - можно как то сделать задуманное мной с сертификатами или нет?

/ip firewall raw add action=drop chain=prerouting log-prefix="" src-address=<атакующий> не прокатывает.

а толку? прилетает хуллилиард пакетов с запросом на обрыв сессии которой нет. на все это тратятся ресурсы ..

Можно плюсовый вариант сделать лучше: сгенерировать трафик атаки, потом записать в pcap и проиграть его каким-то генератором трафика. Можно взять из пакета netsniff-ng

Можно плюсовый вариант сделать лучше: сгенерировать трафик атаки, потом записать в pcap и проиграть его каким-то генератором трафика. Можно взять из пакета netsniff-ng

хочу чтобы это сделали разрабы )

а вот более сложный вопрос, у нас есть аналоги к эьтому: https://www.flexoptix.net/en/transceiver/sfp-plus-cwdm-transceiver-8g-fibre-channel-sm-1270-1610nm-40km-15db-ddm-dom.html?178=1084&co8493=76593

http://shop.nag.ru/search?word=sfp%2B+1470

только попросить прошить под FC надо =)

дмитрий, вы же из Нага?

Гыггг

@dsamodelko немного имеет отношение, ага

Ога, давно не разговаривал :) С года 11-12

Помню, Технический директор вроде

Можно плюсовый вариант сделать лучше: сгенерировать трафик атаки, потом записать в pcap и проиграть его каким-то генератором трафика. Можно взять из пакета netsniff-ng

думаешь tcpreplay сможет больше дать производительности ? )

думаешь tcpreplay сможет больше дать производительности ? )

Он не нужен тут

да микроитк тоже не нужен :)

м9 вторую кроссировку подряд битую кладёт ;(

чо за говно

чо за говно

Ты придираешься

а,мы вон сегодня в ТТК написали,почему и зачто закрыли нам www.ingress.com....

ответили: К сожалению, текущая реализация системы ограничения и возобновления доступа к запрещенной информации не позволяет различать доменные имена, к которым производится подключение по протоколу https. Таким образом, становятся недоступными все https-ресурсы, размещенные на одном IP с адресом, на котором расположен ресурс из Единого реестра и имеющий атрибут blocktype=domain. Доработка системы для преодоления данного ограничения требует времени. В настоящее время расчетный срок доработки - середина апреля. Приносим свои извинения за предоставленные неудобства.

так а гитхаб они открыли?

А разве межоператорские стыки тоже надо фильтровать ?

а хз. но многое они что-то фильтруют и узнаем об этом только от абонентов

так а гитхаб они открыли?

на след день

а хз. но многое они что-то фильтруют и узнаем об этом только от абонентов

вроде кто-то говорил что можно написать письмо и не будут

да видимо уже пора задумываться о таком письме

Кстати,коллеги,хотел вот о чем поинтересоваться. Поставил роскомбокс,вроде бы все работает. Но,uwsgi утомляет в логи гадить

uWSGI listen queue of socket "127.0.0.1:8807" (fd: 3) full !!! (101/100) ***

как пофиксить можно оное?

а,мы вон сегодня в ТТК написали,почему и зачто закрыли нам www.ingress.com....

Забота о детях?

uWSGI listen queue of socket "127.0.0.1:8807" (fd: 3) full !!! (101/100) ***

это им надо вылечить свой воркер

Забота о детях?

и это тоже)

это им надо вылечить свой воркер

в смысле - это не лечится ?

в смысле - это не лечится ?

покажи конфиг с которым запускается uwsgi

@Phantom_33rus можно поднять listen чтоб очередь увеличить, можно перед ним что-то поставить, что будет очередь держать, можно ещё воркеров запустить, коль текущее количество не справляется

@Phantom_33rus можно поднять listen чтоб очередь увеличить, можно перед ним что-то поставить, что будет очередь держать, можно ещё воркеров запустить, коль текущее количество не справляется

listen = 1024

покажи конфиг с которым запускается uwsgi

[uwsgi] # vassals directory emperor = /etc/uwsgi-emperor/vassals no-orphans = true listen = 1024 вот и весь конфиг

@Phantom_33rus а net.core.somaxconn = 100 ?

65535

так а гитхаб они открыли?

открыли 12 часов спустя тогда, почему он там был вобще непонятно

65535

чет про backlog

sysctl -a | grep backlog

net.core.netdev_max_backlog = 65536 net.ipv4.tcp_max_syn_backlog = 8192

чудеса

@Phantom_33rus можно поднять listen чтоб очередь увеличить, можно перед ним что-то поставить, что будет очередь держать, можно ещё воркеров запустить, коль текущее количество не справляется

не поможет

http://stackoverflow.com/questions/12340047/uwsgi-your-server-socket-listen-backlog-is-limited-to-100-connections

но чет там тоже самое предлагают)

[uwsgi] # vassals directory emperor = /etc/uwsgi-emperor/vassals no-orphans = true listen = 1024 вот и весь конфиг

ага, знакомо )) а вассалы?

не поможет вам поднятие бэклога. ну будет не на 100 затыкаться, а на 1024

или сколько там выставите

1024 FD_SIZE ?

ulimit ?

вассалы...да по мануалу ставил всё.

ага, знакомо )) а вассалы?

[uwsgi] socket = 127.0.0.1:8807 processes = 10 cheaper = 2 master = true max-requests = 1000 threads = 4 chdir = /home/admin/www/roskombox env = DJANGO_SETTINGS_MODULE=roskombox.settings virtualenv = /home/admin/venvs/roskombox module = roskombox.wsgi:application plugins = python3 #static-map = /static=/home/admin/www/roskombox/portal/static mule = 1 auto-procname = true procname-prefix-spaced = [roskombox] uid = admin

но чет там тоже самое предлагают)

есть ощущение, что опция из конфига игнориурется, в старом uwsgi несколько лет назад были ошибки в парсере, может тот случай с каким-нибудь debian oldstable?

с 24h кто-нить работает? они вообще запустились?

@mathemonkey Debian 8.7

[uwsgi] socket = 127.0.0.1:8807 processes = 10 cheaper = 2 master = true max-requests = 1000 threads = 4 chdir = /home/admin/www/roskombox env = DJANGO_SETTINGS_MODULE=roskombox.settings virtualenv = /home/admin/venvs/roskombox module = roskombox.wsgi:application plugins = python3 #static-map = /static=/home/admin/www/roskombox/portal/static mule = 1 auto-procname = true procname-prefix-spaced = [roskombox] uid = admin

enable-threads = true

ну и стоит переехать на unix socket

спасибо) пойду почитаю)

https://marc.info/?l=uwsgi&m=140370066104189&w=2

звонит сейчас клиент и жалуется, что не может получить доступ на фтпшник хостинга 31.170.165.70. Утверждает, что из дома все норма и подрубается с полпинка. Проверяю по реестру и этот ип там есть, соотв я и мои аплинки его фильтруют, а ростелеком хер кладет )

звонит сейчас клиент и жалуется, что не может получить доступ на фтпшник хостинга 31.170.165.70. Утверждает, что из дома все норма и подрубается с полпинка. Проверяю по реестру и этот ип там есть, соотв я и мои аплинки его фильтруют, а ростелеком хер кладет )

ничего нового

ну и стоит переехать на unix socket

зависит от нагрузки, т.к. тот при переполнении очереди отбивает запрос и клиент будет получать пятисотку вместо TCP-retry

м9 вторую кроссировку подряд битую кладёт ;(

мтус или м9&

ERROR: S client not available

предложите гиг шереда на м9 с бгп

ммтс9

с колоком?

Wingman, именно патчи? там бывает на КРУСах этажных гнезда дерьмовые

да, у нас тоже гнездо было плохое

но все равно печаль - СЛ похоже не просвечивают перед сдачей клиенту

Wingman, именно патчи? там бывает на КРУСах этажных гнезда дерьмовые

да хрен его знает, сдали в ремонт

звонит сейчас клиент и жалуется, что не может получить доступ на фтпшник хостинга 31.170.165.70. Утверждает, что из дома все норма и подрубается с полпинка. Проверяю по реестру и этот ип там есть, соотв я и мои аплинки его фильтруют, а ростелеком хер кладет )

именно 31.170.165.70? я чёт не вижу его в реестре

а всё, нашёл

но все равно печаль - СЛ похоже не просвечивают перед сдачей клиенту

да, мы указкой светанули - из двух волокон одно еле пробивается даже на глаз)

звонит сейчас клиент и жалуется, что не может получить доступ на фтпшник хостинга 31.170.165.70. Утверждает, что из дома все норма и подрубается с полпинка. Проверяю по реестру и этот ип там есть, соотв я и мои аплинки его фильтруют, а ростелеком хер кладет )

так ты предложи клиенту новую услугу «доступ к заблокированному ресурсу» и только ему открой доступ :) на его же сайт

https://meduza.io/shapito/2017/04/01/vy-podelilis-etim-video-v-sotssetyah-kak-pornhub-napugal-svoih-polzovateley

звонит сейчас клиент и жалуется, что не может получить доступ на фтпшник хостинга 31.170.165.70. Утверждает, что из дома все норма и подрубается с полпинка. Проверяю по реестру и этот ип там есть, соотв я и мои аплинки его фильтруют, а ростелеком хер кладет )

там тип "домен". это подразумевает блокировку по IP?

там тип "домен". это подразумевает блокировку по IP?

ну если https то по ip блокируют некоторые

там тип "домен". это подразумевает блокировку по IP?

это никак не уточняется. ркн говорит, что блочьте как хотите.

у меня блокируется по домену, а по IP нет

https, да, не коннектится по IP

у меня блокируется по домену, а по IP нет

а если в tls client hello нет sni ?

этоне знаю.)

у extfilter на этот случай есть крыжик типа block_undetected_ssl. ну да, потенциальный false positive в пределах ip. зато бесплатно. =)

гоню. в пределах ip - с предшественником, nfqfilter. но пара месяцев полёта на extfilter с этим крыжиком, т.е. фактически нет sni - лесом, жалоб не вызвало.

У меня странный вопрос. Если б у вас было много свободных серверов, то чтобы вы с ними сделали интереса/прикола ради?

Зарядил майнить биткоины? :)

Оно еще актуально? Особенно на процах. Электричество то не бесплатное :)

Оно еще актуально? Особенно на процах. Электричество то не бесплатное :)

актуально, если есть свой ботнет

актуально, если есть свой ботнет

Это понятно. Но у меня есть порядка 50 серверов которые нечем занять. Это не тот случай.

Это понятно. Но у меня есть порядка 50 серверов которые нечем занять. Это не тот случай.

сдавай в аренду7

сдавай в аренду7

Сдаются. Хочется чем нибудь новым для себя заняться. Чем нибудь новым.

Сдаются. Хочется чем нибудь новым для себя заняться. Чем нибудь новым.

продать сервера и уехать в лес егерем

продать сервера и уехать в лес егерем

Я пробовал. Лес это явно не мое.

Я пробовал. Лес это явно не мое.

на море рыбаком