Dos attack op Trueserver

[Verwijderd]

hmz, zit hier net alles te checken omdat het zo langzaam gaat

zal wel overgaan, ff geduld hebben

[Icey]

Verwijderd schreef op 12 december 2003 @ 19:04:
Op http://mrtg.trueserver.nl/ is eigenlijk niks vreemds te zien, maar goed, tot nadere informatie geloof ik ze op hun woord...

Die is volgens mij nog niet geupdate, ik zie enkel het vekeer van gisteren (de 11e) of ben ik gek

[T_E_O]

Als je hier kijkt, dan is er wel wat vreemds te zien. Er wordt nauwelijks verkeer uitgewisseld over de AMS-IX.

En hier is te zien dat het bijna geheel wegvallen van de AMS-IX verbinding in eerste instantie werd opgevangen door de Level 3 transit. En ook met abovenet en lambdanet zijn dergelijke dingen gebeurd.

[ Voor 54% gewijzigd door T_E_O op 12-12-2003 19:14 ]

[Verwijderd]

Icey schreef op 12 december 2003 @ 19:08:
[...]


Die is volgens mij nog niet geupdate, ik zie enkel het vekeer van gisteren (de 11e) of ben ik gek

Je moet ff klikken op de links van oa ams-ix... Maar hetgeen ik zover zie is vrijwel alleen het wegvallen van traffic, niet een overschot aan traffic (wat toch wel een kenmerk van een dos-attack is).

[anandus]

Bij mij is ongeveer het halve (Nederlandse) internet langzaam

_{Maar ik weet niet zeker waar mijn DNS zit....}

[Kix@$$]

Mja het begon bij mij al op 17:58... toen ff gegeten (leek et ff goed) en daarna weer dood...

* Kix@$$ baalt hier van

[Rob]

Als het verkeer wegvalt, zoals op de AMS-IX grafiek te zien is, zal het eerder een flippende router zijn.

[r5d]

Ja, idd het is echt super traag. Zou goed een DDoS kunnen zijn.

[Sorcerer8472]

-Rob- schreef op 12 december 2003 @ 19:14:
Als het verkeer wegvalt, zoals op de AMS-IX grafiek te zien is, zal het eerder een flippende router zijn.

Ja, of het verkeer wordt vóór die router al tegengehouden waardoor het toch traag is (maar die router nergens last van heeft), of ze hebben de verbinding afgekapt om welke reden dan ook, maar vooral met de AMS-IXlijn lijkt me dat erg stug - dat verkeer kost niets en dan beloon je de ddossers alleen...

[Flyduck]

De grafiek van level3 schiet juist omhoog, iemand verklaring?

[Spider.007]

momenteel timen alle trueserver links ook uit...

[Microkid]

En ik maar denken dat m'n nieuwe ADSL modem alweer defect was. Wel lullig dat die server alweer doelwit is. GoT is nu niet vooruit te branden. Goed, maar rustig wachten totdat het over is

[anandus]

Zo dan

Die hele grafiek pleurt in mekaar....


nb. Links is nu

[ Voor 48% gewijzigd door anandus op 12-12-2003 19:28 ]

[Verwijderd]

Flyduck schreef op 12 december 2003 @ 19:22:
De grafiek van level3 schiet juist omhoog, iemand verklaring?

Ja, maar dat is vrij weinig. Kan natuurlijk zijn dat verkeer wat niet meer over bv de ams-ix gaat, nu over level3 gaat.

[T_E_O]

Flyduck schreef op 12 december 2003 @ 19:22:
De grafiek van level3 schiet juist omhoog, iemand verklaring?

Het is juist weer terug op z'n oude niveau. Net iets na 6 uur piekte het, omdat de ams-ix verbinding ermee stopte, maar dat opvangen gebeurt nu zo te zien niet meer

[PD2JK]

Even over die aanvallen he, (heb er niet zoveel verstand van), begrijp ik het goed dat zo'n aanval meerdere IP-adressen gebruikt zodat de 'aanval' niet 'geblokkeerd' kan worden?

En zou het vanzelf over moeten gaan?

_{eng hoor En zielig voor de man die hiervoor verantwoordelijk is}

[anandus]

Prutz0r schreef op 12 december 2003 @ 19:27:
Even over die aanvallen he, (heb er niet zoveel verstand van), begrijp ik het goed dat zo'n aanval meerdere IP-adressen gebruikt zodat de 'aanval' niet 'geblokkeerd' kan worden?

Zoek eens op Google of Tweakers.net naar ddos aanvallen. Is best interessant hoe dat in elkaar zit...

Maar het klopt wat je zegt, idd

[Smooth]

DDoS is altijd van meerdere computers, IP's hoeft niet dacht ik maar is meestal wel het geval.

[Flyduck]

Denk niet dat het hier om een DDOS attack gaat? Tenminste kan verder nergens uitschieters naar boven vinden.
Vind het ook niet erg dat alles traag is, ik ben een onwijze routerfreak dus ik vind dit juist wel leuk

[Kix@$$]

Prutz0r schreef op 12 december 2003 @ 19:27:
Even over die aanvallen he, (heb er niet zoveel verstand van), begrijp ik het goed dat zo'n aanval meerdere IP-adressen gebruikt zodat de 'aanval' niet 'geblokkeerd' kan worden?

En zou het vanzelf over moeten gaan?

_{eng hoor En zielig voor de man die hiervoor verantwoordelijk is}

Mja vaak ist zo dat er een soort trojan op veel pc's wordt geinstalleerd en dan komt die dus op 1000den pc's

Zodra dan een opdracht wordt gegeven gaan al deze pc's dus pakketjes versturen naar een bepaalde server. En mja... dan wordt et traag

[mabarto]

Het is alweer voorbij.

[r5d]

Verwijderd schreef op 12 december 2003 @ 18:59:
Volgens laatste informatie ......

Hoe kom je trouwens aan die informatie, Als ik vragen mag??

[Kix@$$]

barto018 schreef op 12 december 2003 @ 19:32:
Het is alweer voorbij.

Nog niet helemaal hoor... Ik krijg nog steeds:

code:

Reply from 213.239.165.72: bytes=32 time=279ms TTL=122
Reply from 213.239.165.72: bytes=32 time=280ms TTL=122
Reply from 213.239.165.72: bytes=32 time=286ms TTL=122
Reply from 213.239.165.72: bytes=32 time=279ms TTL=122
Reply from 213.239.165.72: bytes=32 time=279ms TTL=122
Reply from 213.239.165.72: bytes=32 time=280ms TTL=122
Reply from 213.239.165.72: bytes=32 time=278ms TTL=122
Request timed out.
Reply from 213.239.165.72: bytes=32 time=279ms TTL=122

[Kix@$$]

PimpDiddy schreef op 12 december 2003 @ 19:33:
[...]


Hoe kom je trouwens aan die informatie, Als ik vragen mag??

Van Trueserver zelf...

[T_E_O]

PimpDiddy schreef op 12 december 2003 @ 19:33:
[...]


Hoe kom je trouwens aan die informatie, Als ik vragen mag??

Een belletje naar een van de mensen van TrueServer lijkt me ? Als klant heb je toegang tot een lijstje met 06-nummers voor noodgevallen.

[mabarto]

Kix@$$ schreef op 12 december 2003 @ 19:33:
[...]


Nog niet helemaal hoor... Ik krijg nog steeds:

code:

Reply from 213.239.165.72: bytes=32 time=279ms TTL=122
Reply from 213.239.165.72: bytes=32 time=280ms TTL=122
Reply from 213.239.165.72: bytes=32 time=286ms TTL=122
Reply from 213.239.165.72: bytes=32 time=279ms TTL=122
Reply from 213.239.165.72: bytes=32 time=279ms TTL=122
Reply from 213.239.165.72: bytes=32 time=280ms TTL=122
Reply from 213.239.165.72: bytes=32 time=278ms TTL=122
Request timed out.
Reply from 213.239.165.72: bytes=32 time=279ms TTL=122

je hebt gelijk:

code:

Pingen naar 213.239.165.72 met 32 byte gegevens:

Antwoord van 213.239.165.72: bytes=32 tijd=271 ms TTL=123
Antwoord van 213.239.165.72: bytes=32 tijd=399 ms TTL=123
Antwoord van 213.239.165.72: bytes=32 tijd=271 ms TTL=123
Time-out bij opdracht.
Antwoord van 213.239.165.72: bytes=32 tijd=271 ms TTL=123
Time-out bij opdracht.
Antwoord van 213.239.165.72: bytes=32 tijd=273 ms TTL=123
Antwoord van 213.239.165.72: bytes=32 tijd=359 ms TTL=123
Antwoord van 213.239.165.72: bytes=32 tijd=271 ms TTL=123
Antwoord van 213.239.165.72: bytes=32 tijd=273 ms TTL=123
Antwoord van 213.239.165.72: bytes=32 tijd=272 ms TTL=123
Antwoord van 213.239.165.72: bytes=32 tijd=271 ms TTL=123
Antwoord van 213.239.165.72: bytes=32 tijd=273 ms TTL=123
Antwoord van 213.239.165.72: bytes=32 tijd=270 ms TTL=123

pingtime is nog erg hoog en soms valt er een pakket weg. Oke, duurt even voordat ie begint met laden, maar als ie bezig is komen de pakketten direct weer binnen. Er verandert dus wel wat

[Verwijderd]

PimpDiddy schreef op 12 december 2003 @ 19:33:
[...]


Hoe kom je trouwens aan die informatie, Als ik vragen mag??

Verwijderd schreef op 12 december 2003 @ 18:59:
dit komt dus rechtstreeks uit bron binnen trueserver.

[r5d]

T_E_O schreef op 12 december 2003 @ 19:35:
[...]


Een belletje naar een van de mensen van TrueServer lijkt me ? Als klant heb je toegang tot een lijstje met 06-nummers voor noodgevallen.

uhmm, klinkt logisch

[SchizoDuckie]

Hmmz het lijkt er volgens mij steeds meer op dat er binnen het netwerk iets goed fout gaat...

als ik ge0-0-0.ams-ix.ams1.trueserver.nl ping:
(laatste hop vanaf hier tot het trueserver netwerk)

code:

ping -t ge0-0-0.ams-ix.ams1.trueserver.nl
Antwoord van 213.239.128.1: bytes=32 tijd=301 ms TTL=251
Antwoord van 213.239.128.1: bytes=32 tijd=90 ms TTL=251
Antwoord van 213.239.128.1: bytes=32 tijd=20 ms TTL=251
Antwoord van 213.239.128.1: bytes=32 tijd=31 ms TTL=251
Antwoord van 213.239.128.1: bytes=32 tijd=10 ms TTL=251
Antwoord van 213.239.128.1: bytes=32 tijd=20 ms TTL=251
Antwoord van 213.239.128.1: bytes=32 tijd=10 ms TTL=251
Antwoord van 213.239.128.1: bytes=32 tijd=40 ms TTL=251
Antwoord van 213.239.128.1: bytes=32 tijd=20 ms TTL=251
Antwoord van 213.239.128.1: bytes=32 tijd=20 ms TTL=251

die heeft er een stuk minder last van
alles wat daarachter zit:

code:

ping -t www.tweakers.net
Antwoord van 213.239.154.35: bytes=32 tijd=271 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=270 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=301 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=270 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=271 ms TTL=250

Attack van binnenuit

[Snow_King]

nou, niet echt over dus.
Mijn colo bak @ NovaXess

code:

wido@aqua:~$ ping www.tweakers.net
PING www.tweakers.net (213.239.154.35): 56 data bytes
64 bytes from 213.239.154.35: icmp_seq=0 ttl=251 time=254.5 ms
64 bytes from 213.239.154.35: icmp_seq=1 ttl=251 time=253.6 ms
64 bytes from 213.239.154.35: icmp_seq=3 ttl=251 time=254.4 ms
64 bytes from 213.239.154.35: icmp_seq=4 ttl=251 time=254.1 ms
64 bytes from 213.239.154.35: icmp_seq=5 ttl=251 time=255.0 ms
64 bytes from 213.239.154.35: icmp_seq=6 ttl=251 time=254.4 ms
64 bytes from 213.239.154.35: icmp_seq=7 ttl=251 time=254.1 ms
64 bytes from 213.239.154.35: icmp_seq=8 ttl=251 time=254.9 ms

--- www.tweakers.net ping statistics ---
9 packets transmitted, 8 packets received, 11% packet loss
round-trip min/avg/max = 253.6/254.3/255.0 ms
wido@aqua:~$

en bij NXS vandaan

code:

[[e-mail] ~]$ ping www.tweakers.net
PING www.tweakers.net (213.239.154.35): 56 data bytes
64 bytes from 213.239.154.35: icmp_seq=0 ttl=252 time=252.9 ms
64 bytes from 213.239.154.35: icmp_seq=1 ttl=252 time=253.0 ms
64 bytes from 213.239.154.35: icmp_seq=2 ttl=252 time=252.5 ms
64 bytes from 213.239.154.35: icmp_seq=4 ttl=252 time=251.7 ms
64 bytes from 213.239.154.35: icmp_seq=5 ttl=252 time=251.5 ms

--- www.tweakers.net ping statistics ---
6 packets transmitted, 5 packets received, 16% packet loss
round-trip min/avg/max = 251.5/252.3/253.0 ms
[[e-mail] ~]$

Komt dus lekker van binnen uit

[ Voor 29% gewijzigd door Snow_King op 12-12-2003 19:46 ]

[Verwijderd]

code:

PING www.tweakers.net (213.239.154.35) 56(84) bytes of data.
64 bytes from www.tweakers.net (213.239.154.35): icmp_seq=2 ttl=252 time=256 ms
64 bytes from www.tweakers.net (213.239.154.35): icmp_seq=3 ttl=252 time=253 ms
64 bytes from www.tweakers.net (213.239.154.35): icmp_seq=4 ttl=252 time=256 ms
64 bytes from www.tweakers.net (213.239.154.35): icmp_seq=5 ttl=252 time=254 ms

--- www.tweakers.net ping statistics ---
5 packets transmitted, 4 received, 20% packet loss, time 4045ms
rtt min/avg/max/mdev = 253.666/255.319/256.985/1.475 ms

Vanuit GlobalSwitch (10 meter naast AMS-IX routers)

Naar router van TS:

code:

PING ge0-0-0.ams-ix.ams1.trueserver.nl (213.239.128.1) 56(84) bytes of data.
64 bytes from ge0-1-0.m20.ams1.trueserver.nl (213.239.128.1): icmp_seq=1 ttl=253 time=10.4 ms
64 bytes from ge0-1-0.m20.ams1.trueserver.nl (213.239.128.1): icmp_seq=2 ttl=253 time=54.4 ms
64 bytes from ge0-1-0.m20.ams1.trueserver.nl (213.239.128.1): icmp_seq=3 ttl=253 time=1.82 ms
64 bytes from ge0-1-0.m20.ams1.trueserver.nl (213.239.128.1): icmp_seq=4 ttl=253 time=4.12 ms
64 bytes from ge0-1-0.m20.ams1.trueserver.nl (213.239.128.1): icmp_seq=5 ttl=253 time=2.21 ms

--- ge0-0-0.ams-ix.ams1.trueserver.nl ping statistics ---
5 packets transmitted, 5 received, 0% packet loss, time 4049ms
rtt min/avg/max/mdev = 1.826/14.623/54.490/20.172 ms

[ Voor 20% gewijzigd door Verwijderd op 12-12-2003 19:50 ]

[twit]

Ik heb hier ook een hoop pings gedaan en vooral de interne pings zijn uber brak. Ping naar een bak die 1 rack verder staat en gewoon ping van 500ms en ongeveer 60% packetloss

[Snow_King]

twit schreef op 12 december 2003 @ 19:50:
Ik heb hier ook een hoop pings gedaan en vooral de interne pings zijn uber brak. Ping naar een bak die 1 rack verder staat en gewoon ping van 500ms en ongeveer 60% packetloss

lekker

[Pc123]

Een Dos van binnenuit lijkt me sterkt, dan hadden ze het kabeltje van die server er al lang uitgetrokken Eerder een router storing.

[Kix@$$]

Ff een ping van mijn bak naar tnet bakken (staan er recht tegenover):

code:

C:\Documents and Settings\Administrator>ping www.tweakers.net

Pinging www.tweakers.net [213.239.154.35] with 32 bytes of data:

Request timed out.
Reply from 213.239.154.35: bytes=32 time=494ms TTL=254
Reply from 213.239.154.35: bytes=32 time=496ms TTL=254
Reply from 213.239.154.35: bytes=32 time=495ms TTL=254

Ping statistics for 213.239.154.35:
    Packets: Sent = 4, Received = 3, Lost = 1 (25% loss),
Approximate round trip times in milli-seconds:
    Minimum = 494ms, Maximum = 496ms, Average = 495ms

[Verwijderd]

Een dos van binnenuit lijkt me ook niet waarschijnlijk.

[twit]

Pc123 schreef op 12 december 2003 @ 19:52:
Een Dos van binnenuit lijkt me sterkt, dan hadden ze het kabeltje van die server er al lang uitgetrokken Eerder een router storing.

NOFI maar ik ben een trueserver klant en dit is toch echt hetgene wat gemeld werd/wordt. Zo melden ze rond 17:50 al dat ze de klant die het veroorzaakte hadden afgesloten maar het probleem is zoals jullie merken nog aanwezig.

[Snow_King]

Pc123 schreef op 12 december 2003 @ 19:52:
Een Dos van binnenuit lijkt me sterkt, dan hadden ze het kabeltje van die server er al lang uitgetrokken Eerder een router storing.

zou kunnen ja, dat bijv 2 core routers er uit zijn gevallen

[Aspje]

Ping vanaf thuis naar tweakers 270 ms, vanaf tudelft 670 ms Normaal is die ping dan 2. Iemand een id waarom dit zoveel verschilt?

[Verwijderd]

Misschien heeft @Home de upload verhoogt

[DjGeRo]

Vooral allemaal gaan pingen. \o/

[agent327]

Wat is nou eigenlijk de lol acher zo'n Dos? Dat begrijp ik nou niet.

[T_E_O]

Verwijderd schreef op 12 december 2003 @ 19:49:
<knip>
Vanuit GlobalSwitch (10 meter naast AMS-IX routers)
<knip>

"The configuration of AMS-IX consists of four Foundry Networks BigIron switches"

[HunterPro]

DjGeRo schreef op 12 december 2003 @ 20:05:
Vooral allemaal gaan pingen. \o/

denk niet dat zo'n coreswitch een scheetje minder laat om die paar pingetjes die wij genereren.

[Kix@$$]

DjGeRo schreef op 12 december 2003 @ 20:05:
Vooral allemaal gaan pingen. \o/

Euh... die paar pings leveren echt geen gbits op hoor

[Kix@$$]

agent327 schreef op 12 december 2003 @ 20:05:
Wat is nou eigenlijk de lol acher zo'n Dos? Dat begrijp ik nou niet.

Dan voelen ze zich goed en dan kunnen ze bij hun vriendjes gaan pronken enzow...

[Hoyden]

t lijkt over

[HunterPro]

*zoef*

[Bartjeee]

Ik pingde om 20:00 naar True server allemaal pings van 269 en 4 packetlos van 12 En om 20:09 allemaal weer 15ms dus ik denk dat het over is

[Kix@$$]

Woeii hij is er weer

[Osiris]

code:

Pingen naar www.tweakers.net [213.239.154.35] met 32 byte gegevens:

Antwoord van 213.239.154.35: bytes=32 tijd=30 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=30 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=20 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=20 ms TTL=250

Ping-statistieken voor 213.239.154.35:
    Pakketten: verzonden = 4, ontvangen = 4, verloren = 0 (0% verlies),
Retourtijd bij benadering in milliseconden:
    Minimum = 20 ms, Maximum =  30 ms, Gemiddeld =  25 ms

[SchizoDuckie]

Het lijkt inderdaad grootendeels over

wel af en toe nog een uitschieter naar de >200ms over

[Osiris]

Floris, dank je wel jongen voor het eruit pluggen van die server

_{Denken we}

[Kix@$$]

[insert floris_is_een_held.gif]

[vanke014]

Gisteren gaf een trace naar mijn server een hele grappige route aan. Ik mocht eerst London bezoeken in plaats van direct door naar TS.

Gelukkig nu weer opgelost, ik vond het namelijk al zeer vreemd.

[Suepahfly]

Ik heb helmaal niks gemerkt, Got is de afgelopen dagen even snel (of traag) geweest als anders. Het enige waar mijn browser op blijft hangen zijn die ICQ icon's.

[Xandrios]

Zojuist had ik een kleine disconnect (Ik zit met m'n sdsl lijn direct op het trueserver netwerk), en sindsdien is alles weer snel.

Aangezien dit soort topics eigenlijk niet helemaal de bedoeling zijn, zal ik deze sluiten als het echt weer stabiel is. Ik verwacht dat het nu niet meer fout gaat, maar laten we nog even een half uurtje wachten voor de zekerheid

[Osiris]

En daar gaan we weer

code:

Time-out bij opdracht.
Time-out bij opdracht.
Antwoord van 213.239.154.35: bytes=32 tijd=270 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=280 ms TTL=250

[Kix@$$]

Cutebritney schreef op 12 december 2003 @ 20:18:
Zojuist had ik een kleine disconnect (Ik zit met m'n sdsl lijn direct op het trueserver netwerk), en sindsdien is alles weer snel.

Aangezien dit soort topics eigenlijk niet helemaal de bedoeling zijn, zal ik deze sluiten als het echt weer stabiel is. Ik verwacht dat het nu niet meer fout gaat, maar laten we nog even een half uurtje wachten voor de zekerheid

Mja ik was ook ff disconnected van m'n server en daarna was alles gelijk weer vlot.

Waarschijnlijk als et een DDos was hebben ze ff de juniper gereboot zodat alle data er uit is.

[Kix@$$]

ARGH gaan we weer

[SchizoDuckie]

Osiris schreef op 12 december 2003 @ 20:18:
En daar gaan we weer

code:

Time-out bij opdracht.
Time-out bij opdracht.
Antwoord van 213.239.154.35: bytes=32 tijd=270 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=280 ms TTL=250

back with a vengance

code:

Pingen naar tweakers.net [213.239.154.35] met 32 byte gegevens:

Antwoord van 213.239.154.35: bytes=32 tijd=270 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=261 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=280 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=270 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=271 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=260 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=361 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=270 ms TTL=250
Antwoord van 213.239.154.35: bytes=32 tijd=271 ms TTL=250

[Kix@$$]

sjalala ... enzow

[ Voor 96% gewijzigd door Kix@$$ op 12-12-2003 20:34 ]

[Flyduck]

Lijkt me toch niet zo heeeel moeilijk om te vinden wat de oorzaak is

[Kix@$$]

hijs weer snel

*afkloppen doet*

[ Voor 38% gewijzigd door Kix@$$ op 12-12-2003 20:37 ]

[HunterPro]

hmm, als ze de grafiekjes nou eens filteren op een blockwave-vorm, denk ik dat ze 'n eind komen (geintje, het zit niet in een host waarsch. )

[axis]

code:

Pinging www.tweakers.net [213.239.154.35] with 32 bytes of data:

Reply from 213.239.154.35: bytes=32 time=1ms TTL=253
Reply from 213.239.154.35: bytes=32 time=1ms TTL=253
Reply from 213.239.154.35: bytes=32 time=1ms TTL=253
Reply from 213.239.154.35: bytes=32 time=1ms TTL=253

Ping statistics for 213.239.154.35:
    Packets: Sent = 4, Received = 4, Lost = 0 (0% loss),
Approximate round trip times in milli-seconds:
    Minimum = 1ms, Maximum = 1ms, Average = 1ms

het leuke van zo'n ddos is wel dat je dan opeens een heleboel dingen niet meer voor vanzelfsprekend houdt

[DjGeRo]

HunterPro schreef op 12 december 2003 @ 20:07:
[...]

denk niet dat zo'n coreswitch een scheetje minder laat om die paar pingetjes die wij genereren.

't Gaat om het idee.

[M@rijn]

Volgens mij is 1 van de junipers een beetje brak, want het vage is dat ik wel langzaam op t.net kom maar nedlinux.nl staat ietsje verder op en daar kom ik dus NIET op.

[axis]

lolz: http://forum.fok.nl/showtopic.php/442505

[Floor-is]

anandus schreef op 12 december 2003 @ 19:24:
Zo dan

Die hele grafiek pleurt in mekaar....

[afbeelding]
nb. Links is nu

Ik heb in overleg met een aantal klanen het AMS-IX verkeer bijna geheel weggewerkt, dit komt gedurende de avond cq morgen weer langzaam terug

[Verwijderd]

Ter notie: forum.fok.nl lag gedurende middag ook plat.
De Fok!-FP leek het allemaal iets beter aan te kunnen maar die gaf soms ook timeouts....

[Talon]

Ik neem nu nog even aan dat het het geplande onderhoud is ...
Iemand nog even een officiele site om dat te bevestigen ?

Ik neem wel aan dat als tweakers en GoT eruit ligt dat er nu uit donkere hoeken en gaten allemaal bleke verdwaasde nerds zich op straat gaan begeven.
Misschien lag tweakers er de afgelopen maand er wel vaker uit en hebben ze het daarom over een griepepidemie ..

[Verwijderd]

Wel raar onderhoud dan, alles is supersloom en er treden timeouts op. Lijkt mij niet echt onderhoud dan... en al helemaal niet overdag voor een lange tijd....

Haha ! Ik zie het idd al voor me, al die gastjes zo schichtig om zich heen kijkend uit de gekste steegjes zo'n verlaten straat op komen kruipen .

[Floor-is]

Onderhoud, waar haal je dat vandaan dan?

[Verwijderd]

Dear sir/madam,

Since 6pm (CET) we're suffering from a ddos-attack. The attack is coming
mainly over our transit links and peaked at around 2.5Gbit, it's going
to most of our customers at the TeleCity-2 datacenter in Amsterdam.

Since 8pm we've managed to direct this attack only to enter our network
using
our Level(3) uplink so it was a bit easier to filter it away. We've
limited the attack to around 400Mbit, so our internal network is not
longer overloaded.

Currently most traffic is working again, only transit routes might be
slow as they can take a Level(3) route. At the moment the attack lowered
to around 940Mbit (but filtered down to 400Mb on our internal network).

Excuse us for the problems caused by this attack.

I will send an update around this list when the attack is over.

[Mastermind]

Bij mij is zowel Tweakers als Fok retetraag, maar ik kan niets ontdekken?

code:

E:\WINNT\system32>tracert gathering.tweakers.net

Tracing route to gathering.tweakers.net [213.239.154.36]
over a maximum of 30 hops:

  1    10 ms    10 ms   <10 ms  129.125.101.252
  2   <10 ms    10 ms   <10 ms  Gi15-0.AR5.Groningen1.surf.net [145.145.2.1]
  3    10 ms    10 ms    10 ms  PO6-0.CR2.Amsterdam2.surf.net [145.145.165.17]
  4    10 ms    10 ms    10 ms  PO0-0.BR1.Amsterdam2.surf.net [145.145.166.30]
  5    10 ms    10 ms    10 ms  ge-2-1-159.ipcolo1.Amsterdam1.Level3.net [213.24
4.164.41]
  6    10 ms    10 ms    10 ms  ge0-1-0.level3.ams1.trueserver.nl [212.72.44.114
]
  7    10 ms    10 ms    10 ms  ge0-1-0.m20-1.ams1.trueserver.nl [213.239.156.61
]
  8     *       10 ms    10 ms  gathering.tweakers.net [213.239.154.36]

Trace complete.

[T-h-i-j-s]

Wel apart dat het verkeer tussen de TUDelft (SURFnet) en Trueserver via Level3 gerouteerd wordt en niet over de AMS-IX. Of staat een aantal van de DOS-dozen 'toevallig' binnen SURFnet?

[IceStorm]

Lijkt het overigens alsof TrueServer 'boven gemiddeld' vaak ddos-attacks heeft of komt dat voornamelijk omdat 'we' er hier altijd van horen omdat T.net er nou eenmaal zit? Of, als het wel zo is, is er een andere reden?

Begrijp me niet verkeerd, niet negatief bedoeld maar het schiet me ineens te binnen .

[Verwijderd]

IceStorm schreef op 13 december 2003 @ 01:52:
Lijkt het overigens alsof TrueServer 'boven gemiddeld' vaak ddos-attacks heeft of komt dat voornamelijk omdat 'we' er hier altijd van horen omdat T.net er nou eenmaal zit? Of, als het wel zo is, is er een andere reden?

Begrijp me niet verkeerd, niet negatief bedoeld maar het schiet me ineens te binnen .

Valt wel mee, je hoort het vaker omdat Trueserver gewoon bekender is. Overigens merken klanten van True meestal niet eens als er een Dos attack is. Zelfs een 2.5gb attack en nog is het netwerk niet volledig plat.... De meeste bedrijven zijn al plat bij een dos van < 100mbit....

[IceStorm]

Verwijderd schreef op 13 december 2003 @ 01:54:
Valt wel mee, je hoort het vaker omdat Trueserver gewoon bekender is. Overigens merken klanten van True meestal niet eens als er een Dos attack is. Zelfs een 2.5gb attack en nog is het netwerk niet volledig plat.... De meeste bedrijven zijn al plat bij een dos van < 100mbit....

Het was ook niet meer dan een late-avond-gedachte-gangetje . Dat je 2,5 gbit nog enigsinds kan verstouwen is zeker niet slecht en geeft wel aan wat je hebt liggen .

[Floor-is]

Het word wel een probleem als je interne netwerk dat niet verstouwen kan, of je geen filters aan kunt maken om het verkeer eruit te halen.
Bij een attack op 1 of een paar IP's is dit bijvoorbeeld goed te doen, maar als er at random IP's worden geDDOSed, dan werkt dat niet.

TrueServer heeft natuurlijk Tweakers.net als klant, die nog wel eens doelwit wil zijn van een of ander gefrustreerd mannetje. Maar er vinden (voor zover ik kan overzien) gemiddeld alsnog minder DDOS-attacks plaats op het True-netwerk dan op een gemiddeld ander netwerk. Je hoort het alleen zo goed als elke keer wel omdat T.net-ers er bovenop zitten

[Xandrios]

Floris, klopt het dat het nu nog steeds bezig is?

Ik heb TrueDSL, en zit dus vrijwel direct op de backbone (Weet jij toevallig of ik direct op het interne hostings-netwerk terrecht kom btw? Dat lijkt wel zo namelijk, aangezien ik gister vrijwel totaal offline was). Maargoed, mijn verbinding is dus nogsteeds traag op sommige punten. Door Trueserver gehoste sites zijn echt langzaam, maar ook sommige internationale links lijken vrijwel plat te liggen. (level3?)

En nu we toch bezig zijn, weet jij toevallig of er voor klanten van True (en mischien ook voor mij ) een IPv6 pop aanwezig is?

[Sorcerer8472]

Het is nog steeds bezig ja, al is er voor Trueserver-klanten vrij weinig te merken. Level3-routes werken gewoon lekker snel hier hoor?

Interne pings enzo zijn weer volledig okee, maar ik denk dat het nu wel tijd wordt voor TrueServer om het interne netwerk wat meer capaciteit te geven. Wel goed om te zien dat het externe gedeelte van TrueServer het zo goed vol heeft gehouden en dat daarmee eigenlijk niks aan de hand was

[Grrrrrene]

Nou, 't werkt hier weer prima

[Verwijderd]

Ik heb tweakdsl en snelheid is ruim 60 k lager dan normaal (2048 abbo), got heeft ook de neiging om heel storterend te laden.

[Xandrios]

Verwijderd schreef op 13 december 2003 @ 14:26:
Ik heb tweakdsl en snelheid is ruim 60 k lager dan normaal (2048 abbo), got heeft ook de neiging om heel storterend te laden.

Nu nogsteeds last van?
Want ik heb met cambrium atm weer een zeer snelle lijn

[Oezie Woezie]

http://noc.trueserver.nl/Core/213.239.156.62_14.html

[Verwijderd]

T_E_O schreef op 12 december 2003 @ 20:06:
[...]


"The configuration of AMS-IX consists of four Foundry Networks BigIron switches"

*zucht* 10 meter in een rack naast die krengen van AMS-IX in GlobalSwitch.. zo goed?

[ Voor 4% gewijzigd door Verwijderd op 13-12-2003 14:48 ]

[Kees]

-> la la lallalalala

gaat wel iedereen aan, reden dat het niet altijd even snel is/was

[Floor-is]

Cutebritney schreef op 13 december 2003 @ 11:06:
Floris, klopt het dat het nu nog steeds bezig is?

Dat klopt, maar op dit moment is het 'slechts' 350Mbit oid, waar het gisteren ruim over de 4,5Gbit was...

Ik heb TrueDSL, en zit dus vrijwel direct op de backbone (Weet jij toevallig of ik direct op het interne hostings-netwerk terrecht kom btw? Dat lijkt wel zo namelijk, aangezien ik gister vrijwel totaal offline was). Maargoed, mijn verbinding is dus nogsteeds traag op sommige punten. Door Trueserver gehoste sites zijn echt langzaam, maar ook sommige internationale links lijken vrijwel plat te liggen. (level3?)

Zowel MFN als level(3) hebben grote problemen gehad, zo erg dat MFN nog steeds down is. Level(3) doet het wel weer aardig, de lijn zit lang niet helemaal vol meer.
Hoe jij vanuit je DSL op het True-netwerk komt is niet aan mij om hier te bespreken, maar je zit er iig wel heel vlakbij.

En nu we toch bezig zijn, weet jij toevallig of er voor klanten van True (en mischien ook voor mij ) een IPv6 pop aanwezig is?

Wij kunnen IPv6 leveren, hoewel we met 1 apparaat op dit moment ruzie hebben waardoor het nog niet helemaal naar behoren werkt voor alle klanten. (Stomme switch snapt het niet)

Sorcerer8472 schreef op 13 december 2003 @ 11:14:
Het is nog steeds bezig ja, al is er voor Trueserver-klanten vrij weinig te merken. Level3-routes werken gewoon lekker snel hier hoor?

Jep nu die link niet meer met 1+Gbit bestookt word gaat het wel weer aardig

Interne pings enzo zijn weer volledig okee, maar ik denk dat het nu wel tijd wordt voor TrueServer om het interne netwerk wat meer capaciteit te geven.

Ja intern netwerk meer capaciteit geven, leuk! Dus euh alles met 10Gbit aan elkaar knopen, want dat is de enige optie zo ongeveer. Een beetje jammer dat dan en de coreswitches (4 stuks) en de routers (minstens 3) vervangen moeten worden.
Ik weet niet of jij een paar miljoen op je bankrekening hebt, maar ik durf wel te verklappen dat True dit niet zomaar even betalen kan.

Wel goed om te zien dat het externe gedeelte van TrueServer het zo goed vol heeft gehouden en dat daarmee eigenlijk niks aan de hand was

Sjah dat externe gedeelte kan wel een paar Gbit verstouwen, maar dat wisten we toch al?

[burne]

IceStorm schreef op 13 december 2003 @ 01:52:
Lijkt het overigens alsof TrueServer 'boven gemiddeld' vaak ddos-attacks heeft of komt dat voornamelijk omdat 'we' er hier altijd van horen omdat T.net er nou eenmaal zit?

De vorige grote was in mei 2002, dus hoe bedoel je 'boven gemiddeld' vaak?

* burne heeft z'n trueserver-petje op (voor de duidelijkheid.. )

[ Voor 8% gewijzigd door burne op 13-12-2003 16:02 . Reden: oepsie. nog niet goed wakker. :Z ]

[burne]

Sorcerer8472 schreef op 13 december 2003 @ 11:14:Interne pings enzo zijn weer volledig okee, maar ik denk dat het nu wel tijd wordt voor TrueServer om het interne netwerk wat meer capaciteit te geven.

Er loopt nog altijd grofweg een halve gigabit extra door de diverse routers en switches. Omdat het 'maar' een halve gigabit is, zijn pingtijden weer terug op normale waardes. Pas als het in de buurt van de gigabit komt wordt het een probleem.

Je ziet nauwelijk wat er gebeurd in de grafieken omdat MRTG niet in staat is voldoende snel de tellers in de switches uit te lezen. Het zijn 32 bits tellers (0 tot 4 miljard) en er gaan meer dan 4 miljard bytes door het systeem in de meetperiode van twee of vijf minuten.

* burne heeft z'n trueserver-petje op (voor de duidelijkheid.. )

[Floor-is]

Burne schreef op 13 december 2003 @ 16:01:
[...]


Er loopt nog altijd grofweg een halve gigabit extra door de diverse routers en switches. Omdat het 'maar' een halve gigabit is, zijn pingtijden weer terug op normale waardes. Pas als het in de buurt van de gigabit komt wordt het een probleem.

Je ziet nauwelijk wat er gebeurd in de grafieken omdat MRTG niet in staat is voldoende snel de tellers in de switches uit te lezen. Het zijn 32 bits tellers (0 tot 4 miljard) en er gaan meer dan 4 miljard bytes door het systeem in de meetperiode van twee of vijf minuten.

* burne heeft z'n trueserver-petje op (voor de duidelijkheid.. )

Toevoeging:
Naar ik heb vernomen wil er op MFN nog immer zo'n 240kpps binnenkomen. (240 kilo pakcets per seconde) Wat neerkomt op zo'n 3Gbit aan verkeer. Het poortje is echter 100Mbit, dat past niet en het is maar goed dat dit er netjes uit wordt gefilterd... (Waarnaast de poort gedisabled is tot het is opgelost)

[ Voor 6% gewijzigd door Floor-is op 13-12-2003 16:24 ]

[Verwijderd]

Het is in ieder geval niet meer merkbaar afaics. Zelfs gameservers draaien sinds gisterenavond weer met de ping als altijd.

[Snow_King]

* Snow_King vind toch de mensen die dit doen maar zielig

Ik vraag me toch af waar dit vandaan kwam en wie dit deed......

[Verwijderd]

Snow_King schreef op 13 december 2003 @ 17:29:
* Snow_King vind toch de mensen die dit doen maar zielig

Ik vraag me toch af waar dit vandaan kwam en wie dit deed......

Meestal zijn het gigantische nerds die door een gebrek aan elke vorm van een sociaal leven, zo hun frustratisch botvieren....

[ Voor 3% gewijzigd door Verwijderd op 13-12-2003 18:00 ]

[MAZZA]

@Floris: Ik vraag me dan altijd af wie er voor de kosten opdraaien in dit soort situaties. Ik bedoel het gemaakte dataverkeer zal ook niet gering zijn. Wordt dat jullie kwijtgescholden of hebben jullie zoveel over dat dit op te vangen is?

[Floor-is]

MAZZA: Iedereen een beetje vrees ik.

In principe wil ik verder zo min mogelijk ruchtbaarheid geven aan dit soort dingen, hoe meer het in het nieuws komt, hoe leuker die h*vl*ll*tj*s het vinden...

[Paul]

Burne schreef op 13 december 2003 @ 16:01:
Je ziet nauwelijk wat er gebeurd in de grafieken omdat MRTG niet in staat is voldoende snel de tellers in de switches uit te lezen. Het zijn 32 bits tellers (0 tot 4 miljard) en er gaan meer dan 4 miljard bytes door het systeem in de meetperiode van twee of vijf minuten.

Kent die snmp-daemon (of net hoe je het in een switch noemt ) geen 64-bits tellers dan? (:::::2 achter ip-adres zetten). Zeker op gigabitswitches lijkt me dat geen overbodige luxe

[Verwijderd]

_{uhhh nevermind, ik keek verkeerd.}

[ Voor 80% gewijzigd door Verwijderd op 14-12-2003 16:47 ]