TransIP nullrouting, alweer

[moppentappers]

Bij TransIP heb ik enkele VPS'sen, waarvan 1 regelmatig last heeft van DDoS aanvallen.

TransIP doet vervolgens een nullroutering op het IP adres en zegt dan laat maar weten wat je eraan hebt gedaan, dan gaan wij het er tijdens de vrijdagmiddagborrel over hebben of we die nullrouting gaan opheffen.

Achter het genoemde IP adres draaien 15 sites, waarvan je wel kunt stellen dat het allemaal min of meer breisites zijn van oude omaatjes. Niet al te letterlijk, maar kleine bedrijfjes waar nog nooit iemand van heeft gehoord en waarvan je geen rede kan verzinnen dat deze websites een rode lap voor een stier zijn als het op aanvallen aankomt.

Nu komt TransIP met prachtige oplossingen zoals plaats de websites achter cloudflare, waartoe ik mijn klanten toch moeilijk kan verplichten. Ze willen weten waarom ik denk aangevallen te zijn.
Naar mijn mening hetzelfde als vragen waarom het oude rollator omaatje slachtoffer is geworden van een gewelddadige maffiamoord. Zeker omdat TransIP niets wil vertellen over tijden, poorten of andere nuttige informatie.

Dat er maatregelen genomen worden tegen een aanval kan ik wel begrijpen, maar het is vooral de nonchalante houding die mij steekt.

Je zou toch denken dat het met een KVM cluster redelijk mogelijk moet zijn om bijvoorbeeld VM's die worden aangevallen achter een DDoS appliance zoals die van riorey te hangen?

Ik denk dat we met het internet inmiddels zo ver zijn dat een DDoS aanval tegenwoordig niet meer voor de happy few is, maar een spijtig onderdeel is geworden van het hedendaags internet, of het nu gaat om de website van een breiclub, of multinational.

Om mijn vragen voor het gemak nog even op te sommen/aan te vullen:
- Is het redelijk dat TransIP over gaat tot een nullroutering en daarmee mij en mijn klanten benadeelt.
- Zou er van TransIP verwacht mogen worden dat er enige/meer maatregelen genomen zijn om zo'n aanval te ondervangen?
- Zijn er aanbieders die wel een bescherming tegen DDoS aanvallen bieden voor een VPS?

Ben benieuwd wat jullie mening is

[RGAT]

Tja lastig te zeggen zonder wat meer informatie over de sites en DDoS te weten
En de tip om CloudFlare te gebruiken is zeker geen verkeerde, het kost wel wat maar dan blijft het ook draaien ook
Misschien dat je wat logging op je VPS kan draaien om de IP's van de aanvallen te loggen, eventueel met Wireshark uitvogelen wat ze proberen en dan kan je misschien achterhalen wie je op zijn tenen hebt getrapt
Een DDoSje die door een verveelde tiener wordt uitgevoerd van zijn huis en die van een paar vriendjes kan je eigenlijk wel negeren, dat TransIP het meerdere keren nullroute is dan ook wel erg grondig, lijkt me dan toch echt dat je de verkeerde kwaad hebt gemaakt?...

[Verwijderd]

Wordpress?

[Rprp]

LeaseWeb doet dit helaas ook bij z'n colocated klanten. Ik host een site met meer dan 10 miljoen pageviews per dag en had twee week terug last van DDOS aanvallen, binnen tien minuten werd het IP voor 6 uur (!) genullroute. Dus 6 uur omzet kwijt. Ik heb toen serverside er zoveel mogelijk aan proberen te doen, maar toen alles weer online was kwam de DDOS terug: een nullroute van 24 (!) uur kreeg ik toen van Leaseweb.

Ik heb de website nu voorlopig maar achter Cloudflare gegooid, alle problemen natuurlijk direct opgelost, maar de houding van de providers is erg vervelend. Aan de ene kant snap ik het wel, aangezien andere klanten in hetzelfde rack er ook last van hebben (hele switch gaat plat?) - maar het is naar mijn mening ook een soort van "beloning" voor de aanvaller. Val voor een kwartier aan en de website is gegarandeerd een dag plat..
Ik denk dat het voor de providers ook erg vervelend is, omdat het tegenwoordig om flink wat Gbit gaat waarmee wordt aangevallen.

Probeer de websites eens achter Cloudflare te gooien anders? Als het toch simpele websites zijn zoals je aangeeft dan voldoet het "free plan" ook prima toch? Anders is pro ook niet bijster duur.

[moppentappers]

@RGAT:

De sites ga ik hier niet zo geven, maar ik kan je wel een kleine opsomming geven van waar ze over gaan:
3x een geparkeerde pagina
Modewinkeltje van 10 bij 10
Online agenda van maritieme stichting
Met wachtwoord beveiligde wordpress site die gezien de domeinnaam hoogstwaarschijnlijk de blog van een huismoeder huisvest.
6x domeinen die horen bij een modellenbureau aan huis
Een rijschooltje
Domein wat enkel voor scans van een advocatenkantoor wordt gebruikt

De laatste aanval was overigens van 10 december, en toch weet TransIP te presteren om mij te melden dat als het nog een keer voorkomt ze zullen overwegen de blokkade permanent te maken.

Ik zie echt oprecht niet in welk van deze domeinen/organisaties op enige wijze een tiener ertoe kunnen motiveren een DDoS aanval uit te voeren en zeker niet hoe ik redelijkerwijs iets zinnigs kan zeggen over wat de rede is.

Maar om Wireshark weer een goede 5 maanden aan te zetten is natuurlijk ook alles behalve praktisch.

@Jism Ja, op enkele van de domeinen staat ongetwijfeld Wordpress, maar deze zijn allemaal up to date, omdat we onze klanten er min of meer toe verplichten dat zij altijd gepatchte cms systemen gebruiken, waar we bij wordpress vanuit Plesk dat ook nog eens heel makkelijk kunnen monitoren, tot op plugin niveau.

@Rprp:
Ja, binnen 10 minuten, of wellicht zelfs aanzienlijk minder gaat er al een nullroute op. Er zijn al een aantal nieuwsberichten geweest dat je dergelijke aanvallen kan kopen, dus het zou me niets verbazen als je op deze manier dus voor luttele euro's een website plat hebt.

Als TransIP zelf wordt aangevallen lijkt een nullroutering dan ineens minder noodzakelijk en kunnen er wel maatregelen genomen worden. En dan vraag ik me af hoe ze het vinden als ik ze ga vragen wat naar hun mening de rede is dat ze zijn aangevallen.

Het lijkt me toch niet onrealistisch om te zeggen Ok, laten we iets doen voor onze klanten die eens in de 2/3 maanden door kwajongens worden lastiggevallen met DDoS aanvallen, laten we een DDoS appliance á la riorey neerzetten en als iemand aangevallen wordt verplaatsen we de VPS naar een cluster achter die riorey. Ik zou voor zo'n dienst best willen betalen en het scheelt TransIP waarschijnlijk een hoop negatieve gevoelens en publiciteit.

Want laten we wel wezen, als je een VPS huurt voor je website mag je toch verwachten dat je wat beters krijgt dan wanneer je gewoon een hosting pakketje afneemt voor je website, en dat lijkt nu toch aardig het geval te zijn.

Zojuist ben ik overigens tot de ontdekking gekomen dat OVH wel een anti-ddos dienst levert, alleen wat wel een nadeel is dat je dan een poort krijgt van slechts 100 mbit. Maar het kan dus wel, alleen niet bij TransIP.

[ Voor 22% gewijzigd door moppentappers op 08-04-2015 01:44 ]

[Verwijderd]

Transip verzorgd alleen hosting, blades, vps'en, dedicated rackspace enzovoorts. Verder geen support op daadwerkelijke technische dingen. Mischien moet je https://vservs.com/ eens overwegen, dat is een soort van partner (professionele!) van Transip die wel zou kunnen assiteren hierbij.

Ik ben namelijk doorverwezen door transip zelf toen ik met een behoorlijke vraagbaak aan kwam zetten, en zij me daar niet bij konden helpen.

Een DDOS is ruk. en sommige doen dat gewoon voor de lol. Ook hostingpartners hebben onderling nog wel de pik op elkaar.