Netwerk kan dos aanval niet aan, overige servers ook down

[nasdude]

Ik huur 1/4 rack bij een colocatie provider, afgelopen week had ik ineens zeer slechte response tijden en veel packet loss op alle servers in mijn netwerkje. nadat ik mijn netwerk grafieken had bekeken (van de ''core" switch) zag ik dat ik gedurende een aantal kwartieren flink wat netwerk verkeer te verduren kreeg.

Mijn provider heeft een gigabit switch, (heb het ooit eens getest met mijn laptop, kreeg netjes een gbit link) maar omdat mijn switch max 100mbit ondersteunt gebruik ik dat niet volledig.

Op het moment dat ik (in vmware) de virtuele server van het netwerk disconnecte waren mijn ping tijden weer normaal en had ik geen timeouts meer.

In totaal heb ik 3 fysieke vmware servers (met daarop 7 virtual servers) en 2 echte servers, alle 9 servers ondervonden netwerk problemen, en ook de switch (publiek ip met firewall) gaf slechte response tijden.

Is er iets wat ik kan doen om in het vervolg de andere server geen last te laten ondervinden van een dos, bv met packet shaping (of iets dergelijks) of heeft dat niet zoveel zin?

mijn switch is een hp procurve J4095A

[ Voor 3% gewijzigd door nasdude op 02-03-2011 23:01 ]

[Predator]

Als de dos/ddos aanval gebaseerd is op grote volumes data dan moet je gaan shapen waar je nog meer capaciteit hebt dan het volume van de dos/ddos.
Als je inkomende link(s) al vol zitten kan je daar niet meer gaan shapen ...

[CMG]

Stond laatst een stukje op de frontpage over Brein die last had van een DoS attack met daarin een verwijzing naar de load balancer/firewall die Tweakers gebruikte om DoS aanvallen af te slaan, wellicht iets om naar te kijken?

[Exhar]

Een RioRey is mooi (maar duur!), maar helpt niet als de lijn vol gepompt wordt.

100MBit is heel makkelijk vol te duwen. Je kan er dan wel een appliance van 25K voor zetten, 't schiet niet op!

Kijk eens of je 1Gbit/s of meer kan krijgen. Op dat moment kom je al verder Eventueel kan je daarna firewallen, shapen, et cetera.

[ItsValium]

Een degelijke firewall tussen je switch en je uplink zou al iets (niet alles) kunnen verhelpen, met deftige rules en automatisch blokeren/droppen van connecties zou je toch al een stuk verder komen. Ikzelf gebruik zowel professioneel als privé een aantal PfSense machines met strenge firewall regels erin. Die kan je perfect op een zelfbouw machine installeren, en de hardware hoeft niet super high end te zijn om meer dan funtioneel te zijn. Ik gebruik ze als transparant bridge ingesteld, dus de publieke ip's blijven aan de servers toegewezen echter zal de PfSense alle dataverkeer filteren volgens de ingestelde regels.

En inderdaad upgrade je infra naar Gbit en de kleinere aanvallen kunnen dan al voorkomen worden doordat ze de lijn niet zomaar kunnen volpompen.

[ Voor 10% gewijzigd door ItsValium op 03-03-2011 20:47 ]