Przeciążenie Apache przez ataki

[ToFFiK 33]

Mam problem, ponieważ mam na swoim serwerze stronę www i aplikacje, na otwarciu projektu znalazło sie parę osób które chciały go zakłócić, więc atakowali mi serwer www, co mnie zdziwiło atakowali samego Apache'a a nie sama aplikacje która była wdg. podatniejsza, ale apache wytworzył dziesiątki podprocesów co równało sie z tym że procek padał, w ostatniej chwili wyłączylem apachea i wszystko było OK już nie atakowali dalej, wiec pewnie mój słaby punkt to własnie apache, dlatego mam pytanie jak go zabezpieczyć, lub jeszcze lepiej jak zabezpieczyć cały serwer przez DDoSem i innymi atakami, a najlepiej też jak włączyć logowanie IPTABLES / Apache kto jest takim natretem

[malu 460]

Polecam zainteresować się:

 

http://opensource.adnovum.ch/mod_qos/

http://www.zdziarski...og/?page_id=442

 

mod_qos, ma naprawdę spore możliwości. Pamiętam, że sprawiał kiedyś problemy.

Obecnie używam na serwerach paru klientów i w zasadzie żadnych poważnych problemów nie odnotowałem.

mod_evasive, jest raczej dużo prostszym modułem. Czasem najlepsze to co najprostsze. ; )

Edytowano Październik 1, 2011 przez malu (zobacz historię edycji)

[HaPe 242]

Poszukaj w Google, jest sporo poradników.

Serwer zabezpiecza sie pod daną konfigurację softwarową.

Tutaj liczy się doświadczenie. Jeśli nie wiesz jak, to zatrudnij kogoś.

Samemu nie wyraziłeś żadnych chęci znalezienia czegokolwiek.

[ToFFiK 33]

Aimer, ja zainstalowałem już parę skryptów na evasive, fail2ban, eaccelerator żeby lepiej pracował, ale to mało dało.

[Gość patrys]

iptables connlimit

[ToFFiK 33]

Coś takiego bedzie działać? Nie chcę zepsuć sobie iptables bo później jeszcze sie do niego nie dostanę

 

/sbin/iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 20 -j REJECT --reject-with tcp-reset

 

http://www.cyberciti...n-limits-howto/

Edytowano Październik 2, 2011 przez ToFFiK (zobacz historię edycji)

[Gość patrys]

Tak, zezwoli na utrzymanie 20 połączeń per IP dla portu 80.

[ToFFiK 33]

iptables: No chain/target/match by that name

 

To chyba nie za dobrze?

[HaPe 242]

Coś nie tak w składni, konfiguracji masz.

[Gość patrys]

Nie iptables -A, a iptables -I

[ToFFiK 33]

Dalej to samo

[vlop 32]

Dalej to samo

 

a pokaż wynik lsmod