¿Qué es un buen script de iptables disponible para la mitigación de ddos?
Eche un vistazo a las preguntas sobre:
como las respuestas darán alguna indicación. Básicamente, no puede hacerlo en un dispositivo, ya que la naturaleza distribuida del ataque significa que necesita tener una infraestructura que pueda hacer frente, por lo que los servicios de protección DDoS tienden a proporcionarse junto con los ISP y dependen más del enrutamiento activo y las restricciones de ruta. y filtrado ascendente.
Lo sentimos, pero no puede protegerse eficazmente contra los ataques DDoS modernos con un servidor de seguridad de software que se ejecuta directamente en el servidor. Las tasas de paquetes pueden ser demasiado altas y / o los paquetes vienen en un puerto válido que tu firewall permite a través de.
Puedes hacer limitación de velocidad básica con iptables. Pero la primera "d" en DDoS significa "distribuido". Hay muchos hosts que participan en el ataque, y cada host puede contribuir a una tasa baja, por lo que la limitación de la tasa puede no ayudar mucho.
Dicho esto, si quieres una herramienta de administración para iptables hay varias opciones. Ubuntu se envía con " ufw "- firewall sin complicaciones , y hace honor a su nombre. Para soluciones un poco más complejas, me gusta mucho Shorewall . Hay muchos otros: vaya a los foros de soporte de su distribución favorita y encontrará muchas opciones.
[Quot: Lo siento, pero no puede protegerse eficazmente contra los ataques DDoS modernos con un firewall de software que se ejecuta directamente en el servidor]
100% correcto. La deflación y el equilibrio de carga son las únicas medidas de mitigación DDoS 100% de prueba completa. Por supuesto, necesitará una configuración de varios servidores o un CDN en la nube para eso. (Para obtener más información, consulte esta revisión comparativa de los proveedores de servicios de seguridad en la nube )
También debo decir que limitar los rangos de IP no solo es inefectivo sino también (potencialmente) perjudicial. Como se mencionó, DDoS utiliza botnet, una red de PC que a veces puede ser un grupo muy grande de IPs inconsistentes.
En este escenario cada vez más frecuente, el bloqueo de un rango de IP "atacante" en realidad puede impedir el acceso de visitantes legítimos, sin impedir el ataque DDoS en sí mismo.