Советы по защите от Ddos атак. , Защита от ДДос (Ddos) атак. настройки sysctl.conf и iptables

Советы по защите от Ddos атак. , Защита от ДДос (Ddos) атак. настройки sysctl.conf и iptables

Советы по защите от Ddos атак.

В наше время стало популярным вредительство сайтам серверам или вобщем провайдерам
такое понятие как Ддос атака.
DoS-атака (от англ. Denial of Service, отказ в обслуживании) — атака на вычислительную систему с целью довести её до отказа, то есть создание таких условий, при которых легитимные (правомерные) пользователи системы не могут получить доступ к предоставляемым системой ресурсам (серверами), либо этот доступ затруднён. Отказ «вражеской» системы может быть как самоцелью (например, сделать недоступным популярный сайт), так и одним из шагов к овладению системой (если во внештатной ситуации ПО выдаёт какую-либо критическую информацию — например, версию, часть программного кода и т. д.).

В этой статье я дам конкретные советы как защитится или же просто уберечься от таких атак. Панацеи конечно же нет! Каждый случай индивидуален но некоторый выход из ситуации есть. Я опишу несколько настроек которые возможно вам помогут бороться с таким видом атак.

Для начала рассмотрим настройки /etc/sysctl.conf:

# Controls IP packet forwarding
net.ipv4.ip_forward = 1
net.ipv4.tcp_wmem = 4096 65536 16777216
net.ipv4.tcp_rmem = 4096 87380 16777216
net.core.wmem_default = 2097152
net.core.wmem_max = 16777216
net.core.rmem_max = 16777216
net.core.rmem_default = 2097152
net.core.wmem_default = 2097152
net.ipv4.tcp_mem= 8388608 8388608 8388608
# Controls source route verification
net.ipv4.conf.default.rp_filter = 1
net.ipv4.conf.all.rp_filter = 1
# Do not accept source routing
net.ipv4.conf.default.accept_source_route = 0
net.ipv4.tcp_fin_timeout = 15
net.ipv4.tcp_keepalive_time = 1800
net.ipv4.tcp_window_scaling = 0
net.ipv4.tcp_sack = 0
net.ipv4.tcp_timestamps = 0
net.ipv4.tcp_max_syn_backlog = 2048
# Controls the System Request debugging functionality of the kernel
kernel.sysrq = 0
net.ipv4.tcp_max_orphans = 131072
# Определяет основные свалки добавляя PID для основного файла
# Полезно для отладки многопоточных приложений
kernel.core_uses_pid = 1

# Если ядро собрано с CONFIG_SYNCOOKIES для защиты от syn флуда
net.ipv4.tcp_syncookies = 1

# Контролиролвать максимальный размер сообщений в байтах
kernel.msgmnb = 65536

# Котролировать максимальный размер очереди сообщений
kernel.msgmax = 65536

# Контролирует максимальное общему сегменту размер в байтах
kernel.shmmax = 4294967295

# Контролирует максимальное число общих сегменты памяти, в страницах
kernel.shmall = 268435456
net.ipv4.netfilter.ip_conntrack_tcp_timeout_syn_recv = 30
net.ipv4.netfilter.ip_conntrack_tcp_timeout_time_wait = 30
net.ipv4.netfilter.ip_conntrack_tcp_timeout_fin_wait = 30
net.ipv4.netfilter.ip_conntrack_tcp_timeout_close_wait = 30
kernel.panic=5

Пояснения
net.ipv4.ip_forward – разрешает форвард пакетов, это параметр нужен для маршрутизации пакетов если вам это ненужно лучше оставить значение этого параметра 0.

Продолжение ...