незнаю зачем в облаке с загрузчиком какие то манипуляции делать

сам собрать и на базе какого-нибудь lfs

ну может ты кастомный образ захочешь

ну это разве через спапшот и create image from snapshot нельзя сделать?

тогда такой вопрос, я на AWS столкнулся с тем, что по дурости случайно iptables linux закрыл себе доступ по ssh, и оказалось что amazon не предоставляет никаких инструментов для подключения, только пересоздавать instance

В случае AWS вообще ходить на инстанс через SSH и там ковыряться на живом - это плохая практика (с учётом, что это ru_devops, а не ru_odmin чат). Нужно использовать AWS SSM.

Плохая практика фаер на инстансе держать, вообще фаер на инстансе никуда не упал и не надо именно на инстансе настраивать

Use iptables and routes to limit or filter egress traffic While the Cloud Platform firewall rules can control ingress traffic to your VM instances, network routes can control egress from VMs to IP address ranges. Examples include routing all external traffic through a NAT gateway, all traffic to corporate IP ranges through a VPN gateway, or denying access to IP ranges by routing to a non-existent IP. If you require control over the egress traffic from the VM instances to specific ports, such as filtering all traffic through port 80, configure iptables or another host-based filtering mechanism on the instance. https://cloud.google.com/docs/enterprise/best-practices-for-enterprise-organizations

Use iptables and routes to limit or filter egress traffic While the Cloud Platform firewall rules can control ingress traffic to your VM instances, network routes can control egress from VMs to IP address ranges. Examples include routing all external traffic through a NAT gateway, all traffic to corporate IP ranges through a VPN gateway, or denying access to IP ranges by routing to a non-existent IP. If you require control over the egress traffic from the VM instances to specific ports, such as filtering all traffic through port 80, configure iptables or another host-based filtering mechanism on the instance. https://cloud.google.com/docs/enterprise/best-practices-for-enterprise-organizations

Плохая практика фаер на инстансе держать, вообще фаер на инстансе никуда не упал и не надо именно на инстансе настраивать

Это почему?

вы в курсе как iptables по умолчанию обрабатывает правила? То есть какая нагрузка дается на цпу?

В курсе. И?

SSM так себе, однако это правильный подход. Речь о том, что экспериментировать непосредственно на важном (раз ставится вопрос о восстановлении доступа вплоть до сравнения по возможностям воскрешения умерших с GCP) инстансе - ещё более так себе.

то есть если у меня начинается дос атака все нормально будет? и фаер на загнется? правильно понял?

Я с SSM шапочно знаком, но мне кажется выполнить 'iptables -P INPUT DROP; iptables -F' оно способно и тоже отрубит своему агенту выход к серверу конфигураций

Давайте в цифрах. Сколько mpps и гигабит?

Плохая практика фаер на инстансе держать, вообще фаер на инстансе никуда не упал и не надо именно на инстансе настраивать

До ребута

Бывает нужно, NAT какой-нибудь хитрый поднять

rps ~ 10k тут даже без цифр, как обрабатывает netfilter? как у него с распределениями по ядрам?

rps ~ 10k тут даже без цифр, как обрабатывает netfilter? как у него с распределениями по ядрам?

какой такой хитрый нат?

А вот интересно, как? Моя ставка, что оно все в каком-нибудь soft irq крутится и как настроишь так и будет

Прозрачную проксю с ssl bump скажем или полосу ужать на определенные направления или в openvpn завернуть надо

вы в курсе как iptables по умолчанию обрабатывает правила? То есть какая нагрузка дается на цпу?

Для полосы netfilter не нужен

Поржал с этого вопроса прагусу)))

Поржал с этого вопроса прагусу)))

И? Сами то прочитали что написано?

Egress - исходящий трафик

Ну да

Ну так от чего ты защищаешься?

Все прекрасно у него с этим. Ну откройте доку https://www.kernel.org/doc/Documentation/networking/scaling.txt Прочитайте про rss/rps, используйте nftables/iptables+ipset и по возможности не используйте conntrack.

фаер на инстансах это бред есть пограничные фаерволы которые помогут отцу русской демократии

Вы сами читали? Написано для исходящего трафика используйте iptables и иное

Отличная аргументация. Только что вы будете делать если в вас прилетает ддос?

Отличная аргументация. Только что вы будете делать если в вас прилетает ддос?

Блекхолить ? )

Waf на ддосе ?

пограничные фаерволы переваривают прекрасно и waf отрабатывает)) и не появится злой буратино кто решит портики позакрывать просто так

Waf на ddos? Srsly?

waf дополнительная защита

Waf где у тебя будет? И tls шлёт приветики

если вкратце комплексная защита

если вкратце комплексная защита

Waf где у тебя будет? И tls шлёт приветики

https://www.opennet.ru/opennews/art.shtml?num=49094

И? Вот у тебя ddos на приложение по https. Чтобы понять что это, тебе надо терминировать tls.

с этим проблем так же нет так как эко система амазона

К вам хоть раз прилетало хотя бы 5-6mpps?

К нам прилетает в разы больше

Сколько?

8,2m rps выжили и амазон переварил

Это может машина с одним ядром отфильтровать