Активные подключения - как уменьшить время жизни (Пауза).

[водку_хочешь]

Они могут жить до 40 минут. Если сервер стоит за Керио, достаточно простейшего синфлуда со спуфингом, чтобы забить все подключения и к серверу нельзя будет подключиться во время атаки + 40 минут, пока они сами не отпадут или не убить их вручную.

Можно решить проблему через консоль? Только просто.

[Для просмотра данной ссылки нужно зарегистрироваться].
за 4 месяца (см. дату сообщения поддержки) вряд ли что-то изменилось.

форум снова отрессуректился, напомню на чем остановились:

можно поменять таймауты, но не для всех протоколов это будет действовать

[водку_хочешь]

Да, для TCP и UDP. Уже проверил. Поставил 5 минут и заброшенные сессии живут 5 минут. Как противодействие синфлуду поможет. Одно дело 40 минут, другое 5. Я поставил 5 для UDP и TCP. Пока проблем не было.

По идее, почему бы не посатвить 2-3 минуты? Нормальные приложения/сервера должны слать keepalive не реже, чем раз в 2-3 минуты. Но я могу ошибаться и сильно. Некоторые даловались, что им даже 40 минут не хватало и Керио советовало увеличить время.

А в Линуксе по умолчанию, как я понял, стоит 5 дней.

Я чуствую, что Керио рано или поздно введут SYN cookies и заморачиваться больше не придётся. Пока что-то им мешает. Как я понял, синкуки имеют какие-то недостатки.

Цитата:

Сообщение от водку_хочешь

Да, для TCP и UDP.

не отработает - для dns, ntp и еще чего-то
по крайней мере в прошлых версиях. я линк прикладывал, но он стух при перекатывании форума

[tihon_one]

камрады, есть шанс повлиять на сложившуюся ситуацию.

Пишите сюда те сложности, связанные с различными типами "атак", с которыми вы столкнулись при использховании Kerio Control и ваши соображения, что может помочь их устранить.

У меня налажен прямой мостик с правильными людьми в компании, которые могут повлиять на вектор развития решения глобально. Это конечно всё очень инерционно, но мне кажется, лучше чем ничего.

А главное, я хочу сделать мир лучше

[водку_хочешь]

Как я понял, Control постоянно развивается, но очень медленно. Напр., та же защита от син-флуда (со спуфингом) если и будет введена, то нескоро. не говоря уже про то, что нет гарантий, что ПК даже с мощным ЦП справится с такой атакой, даже если будут син-куки.

Для маршрутизации используется только одно ядро ЦП и будь у нас хоть 8 ядерный Ксеон, толку от него будет мало (хуже, чем десктопный i5 с более высокой частотой).

А как сделать, чтобы Control использовал для маршрутизации все ядра, я не знаю. В инете есть инструкции, как это сделать на голом Линуксе, но я в нём не силён.

Керио уже наверняка в курсе, но, например:

[Для просмотра данной ссылки нужно зарегистрироваться]
[Для просмотра данной ссылки нужно зарегистрироваться]

заходим хотя бы на один сайт и выбираем SSYN. Указываем адрес свого сервера и открытый TCP-порт, на которым должен висеть какой-то сервис (за Контролом). И всё Там точно идёт спуфинг и поэтому что-либо блочить бесполезно, а за 10 секунд будет создано 50-100 тыс соединений и так до бесконечности.

К слову, через конфиг файл Контрол позволяет выставить больше 99999. Я пробовал 500к. Оперативки расходуется немеряно, ЦП тоже жрётся сильно (одно ядро), а кривые версии Керио (9.1.3) сразу падают (она падала даже при 5000, баг был такой). 500к на обновлённой не пробовал, но не вижу причин, почему она не потянула бы.

Хорошо, что IPS работает на другом ядре и это частично разгружает другое. Было бы неплхо позволить юзерам редактировать правила IPS через веб-интерфейс И ещё было бы здорово ввести список запрещённых слов снаружи (чтобы блочились всякие попытки найти админки и прочее).

А ещё сравнительно недавно, даже нельзя было ограничить кол-во соединений с одного внешнего IP-адреса. Теперь можно и это очень помогает. Нередко вижу, как на 80-й порт срабатывает ограничение (я поставил 25-30, нормальным человекам этого хватит). Это точно какой-то смешной DoS. А не было бы такого ограничения - сделали бы сервак недоступным. Такой DoS можно сделать даже на хилом канале и слабым ПК.

На мои жалобы на форуме Керио, один юзер даже предложил перейти на Fortigate (со скидкой) Но это как-то всё совсем другое и не хочу. Да и Кирио развивается же.

К тому же, при платном дудосе мало что спасёт - есть вероятность, что как только провайдер заметит, как а IP-адрес абонента летит UDP-флуд в десятки гбит/с, он может отрубить IP на время.

Те два сайта, что я выложил, по прикидкам, выдают максимум по 1 гбит/с каждый (NTP-флуд). Что забавно - когда у меня был 100 бмит канал по витой паре, то инет практически переставал работать. А как перешёл на 200 мбит по оптике - это практически не заметно, даже пинг, можно написать не пропадает. Просто Керио регистрирует все 200 мбит/с на входящих и всё (канал забит полностью). Люди, у которых канал был 600 мбит, видели все 600.

Это был NTP-флуд - исходящий порт всегда 123, а входящий каждый раз выбирался сервисом рандомно, причём иногда (редко) вмешивался IPS, даже писал о NTP-досе (ему порт назначения не нравился). И всё шло с огромного кол-ва IP-адресов, тем самым генерировалось большое кол-во пакетов в секунду.

Цитата

Сообщение от tihon_one

есть шанс повлиять на сложившуюся ситуацию

не хочу никого обижать, но, BTW, есть еще более дешевый и простой вариант - 300-ый зиксель, (P-330WEE) снятый почти 10 лет назад с производства разработчиком уже тогда умел запросто пресекать DDoS и SYN-Flood атаки, причем "из коробки" без каких-либо дополнительных "допиливаний". Так что, тем более, при наличии у контрола собственной статистической БД, внести проверку по тупому IP источника и количеству попыток открыть соединения с системой для последующей блокировки такового на N часов/дней, думаю (уж при сегодняшних вычислительных ресурсах у пользователя контрола) думаю не должно составлять проблем, особенно учитывая наличие аппаратного устройства аж в 2006 году которое уже умело таковое.

[водку_хочешь]

Цитата:

Сообщение от HOG

есть еще более дешевый и простой вариант - 300-ый зиксель, (P-330WEE) снятый почти 10 лет назад с производства разработчиком уже тогда умел запросто пресекать DDoS и SYN-Flood атаки

А потом Зайцел стал жадным и даже в более производительных SOHO-железках убрал всё это. Но под серьёзным дудосом его 180 МГц ЦП всё равно не спасёт.

Сейчас же, все подобные и куда более мощные железки - слабое звено перед Керио. Я имел дело с Keenetic II - под син-флудом сразу ступор, даже веб-морда не отвечает, большое кол-во сессий просто не держит, выставить ограничение на кол-во подключений от одного IP-адреса нельзя, под NTP-флудом тоже сдувается. Зато техподдержка пишет - устройство работает нормально для своего класса. Сложно возразить.

Я пришёл к выводу, что перед Керио имеет смысл ставить только Mikrotik (35-40 от тыс. руб) или ZyWall начиная от 90 тыс. руб. Первый заметно сложнее в настройках.

Цитата:

Сообщение от HOG

Так что, тем более, при наличии у контрола собственной статистической БД, внести проверку по тупому IP источника и количеству попыток открыть соединения с системой для последующей блокировки такового на N часов/дней

Было бы здорово. Если Керио сможет динамически блокировать IP на указанное количество времени, в зависимости от нарушения.

Сейчас же, приходится это делать вручную. Допустим, IPS сообщил о TCP/UDP-скане - смотрю, кому принадлежит адресный диапазон и если какому-то хостеру - банить его надолго. Но проблема в том, что список адресов будет огромным, а Керио с большим списком записей (несколько тыс.) очень медленно рабоатет (на раздаче инета сказывается тоже).

Ведь Керио позволяет "Записать в журнал и удалить" для Низкой серьёзности, что и есть TCP/UDP-скан. Но на самом деле блокировки нет, хоть и засекат скан он быстро.

Т.е. было бы здорово, если бы Керио блокировал бы адреса на основе событий, которые мы заранее укажем. TCP/UDP-скан - бан. Если с IP-адреса было введёно запрещённое слово (HNAP1, phpmyadmin, и т.д.) - бан. А дальше мы уже будем разгребать всё это.

Цитата:

Сообщение от HOG

особенно учитывая наличие аппаратного устройства аж в 2006 году которое уже умело таковое.

Я так понимаю, это всё можно сделать на голом Линуксе, что и было сделано раньше в дешёвых Зухелях. Но поскольку требует времени на адаптацию для людей, то отказались (дескать, пусть покупают ZyWall). Мы просто хотим веб-интерфейс, для людей, чтобы было просто и удобно (нууу, поэтому Керио и используем).

Яб ещё добавил - ну просто необходима возможность непосредственного добавления айпишников из логов и активных подключений в группы айпи-адресов - чтоб правая кнопка мыши по айпишнику - добавить в группу на выбор. Сейчас это реальный гиммор - запомни, а лучше выпиши на бумажку вражеский айпишник, ибо даже выделить и скопировать его нельзя, перейди в группы айпи-адресов, добавь его, примени, вернись в логи или активные подключения и так по кругу... И тоже самое касается урл.

Цитата:

Сообщение от водку_хочешь

работает нормально для своего класса

ессно. Ибо для офиса (как и некоторых домашних систем) следует использовать соответствующее оборудование. Например Cisco Systems Router Series 1000 и выше. Думаю, почему объяснять не нужно.

Цитата:

Сообщение от водку_хочешь

перед Керио имеет смысл

вообще ничего не ставить, а использовать для публичных сервисов WAN соответствующие площадки Data Centers где изначально предусматривается защита от подобного типа атак. С сегодняшними ценами на таковые услуги это не составит "неподъемной ноши" для компании любого типа и размера.

Цитата:

Сообщение от водку_хочешь

Было бы здорово

У нас на сайте есть решение подобного типа. Автор - незабвенный Бабах, хоть его и нет на сайте уже несколько лет.

Цитата:

Сообщение от водку_хочешь

с большим списком записей

в этом решении справляется SQL сервер. Думаю это логично. Если мне не изменяет память, какое-то довольно длительное время назад этим решением был защищен даже этот наш ресурс.

Цитата:

Сообщение от водку_хочешь

было бы здорово, если бы Керио блокировал бы адреса на основе событий

Это нужно писать в "хотелки". Хотя, в свете последних событий у разработчика (есть кое какая "insiders информация) думаю это будет уже не актуально.

Цитата:

Сообщение от водку_хочешь

Мы просто хотим веб-интерфейс, для людей, чтобы было просто и удобно (нууу, поэтому Керио и используем).

Я использую Керио потому, что это до сей поры лучшие программные продукты в своем сегменте/классе. Причем,я сам был-бы не против, если бы в последующих версиях Керио появились и такие возможности/умения. Но, даже дома сейчас стоит циска. И не потому, что я такой распальцованый/богатый/охуевший, а просто потому, что она тупо есть.

[водку_хочешь]

Mr.Torture, Нуу, из логов можно копипастить. А вот из активных нет. Бывает полезно, но лично мне редко. В крайнем случае - рвёшь подключение и потом идёшь в конфиг-лог и оттуда копипастишь.

Цитата:

Сообщение от HOG

Ибо для офиса (как и некоторых домашних систем) следует использовать соответствующее оборудование. Например Cisco Systems Router Series 1000 и выше. Думаю, почему объяснять не нужно.

Почему именно Cisco, а не Juniper, Mikrotik, ZyXEL и д.р.? Кто будет его (и Juniper) настраивать и обслуживать? У того же Mikrotik есть железки с пропускной способностью в 80 гбит/с и более 120 млн. пакетов секунду. За вменяемые деньги (относительно). Сложно представить офис, где стоит Керио, и такой производительности не то что не хватит, а наберётся хотя бы 10-я часть. И фактически, это тот же Линукс по настройке, для кого-то намного привычнее.

Или имеется в виду, что организация, заключет договор на поставку и настройку Циски, а затем получает с нас регулярно за обслуживание?

Цитата:

Сообщение от HOG

вообще ничего не ставить, а использовать для публичных сервисов WAN соответствующие площадки Data Centers где изначально предусматривается защита от подобного типа атак.

Отчасти можно согласиться. Но я читал, что в России или нет нормальных хостинг-провайдеров с DDoS защитой, или цены очень велики. Поэтому даже российские компании предпочитают хостинг в Европе. Речь идёт про серьзёный, проплаченный дудос.

Цитата:

Сообщение от HOG

У нас на сайте есть решение подобного типа. Автор - незабвенный Бабах, хоть его и нет на сайте уже несколько лет.

Можно ссылку? Если у меня есть доступ в соответствующий раздел.

Цитата:

Сообщение от HOG

в этом решении справляется SQL сервер. Думаю это логично. Если мне не изменяет память, какое-то довольно длительное время назад этим решением был защищен даже этот наш ресурс.

А как Керио сможет сверяться со списком и принимать решения на лету? Как я понял, в голом Линуксе поможет только ipset, потому что iptables при большом кол-ве записей будут тормозить нещадно.

Цитата:

Сообщение от HOG

Хотя, в свете последних событий у разработчика (есть кое какая "insiders информация) думаю это будет уже не актуально.

Это что-то хорошее или плохое?

Цитата:

Сообщение от HOG

Я использую Керио потому, что это до сей поры лучшие программные продукты в своем сегменте/классе.

А я только потому, что не знаю Линукс Иначе бы все вопросы отпали сами собой. Или Mikrotik, но через веб-интерфес там только базовые настройки. А дальше опять консоль

Цитата:

Сообщение от водку_хочешь

Почему именно Cisco

потому, что она есть. Потому, что апдейт cisco ios зачастую бесплатен, при неизменных командах вне особой зависимости от версии ios и серии аппаратной части.

Цитата:

Сообщение от водку_хочешь

Сложно представить офис

запросто. Моя старая работа - связьтелеком, общая пропускная способность каналов 1,4Т, около ста каналов, если мне не особо изменяет память.

Цитата:

Сообщение от водку_хочешь

организация, заключет договор на поставку и настройку Циски, а затем получает с нас регулярно

скорее МЫ получаем с организации за обслуживание, а не наоборот

Цитата:

Сообщение от водку_хочешь

Mikrotik

по сути это end-user класса оборудование, несмотря на таковые характеристики.

Цитата:

Сообщение от водку_хочешь

Отчасти можно согласиться. Но я читал, что в России или нет нормальных хостинг-провайдеров с DDoS защитой, или цены очень велики. Поэтому даже российские компании предпочитают хостинг в Европе. Речь идёт про серьзёный, проплаченный дудос.

что мешает хоститься в европах, особенно учитывая то, что frontend в этом случае это как минимум НЕ хостинг а дополнительная услуга.... Можно взять только ее, если уж на то пошло.

Цитата:

Сообщение от водку_хочешь

Можно ссылку? Если у меня есть доступ в соответствующий раздел.

форум переезжал уже миллион раз, сейчас не нашел сам, (кстати, сейчас в процессе очередного, надеюсь последнего), если у Женьки осталось (или у кого из наших) попрошу выгрузить сюда.

Цитата:

Сообщение от водку_хочешь

А как Керио сможет сверяться со списком

а причем тут керио?? Я говорю о "типа системном драйвере" который до связи с керио/веб-сервером/почтарем разрешает или запрещает соединение на основе сохраненных в SQL БД IP номеров.

Цитата:

Сообщение от водку_хочешь

Это что-то хорошее или плохое?

скорее плохое, чем хорошее. Если люди с Kerio-STAFF группы сочтут нужным сообщить, то сообщат сами, у меня нет такого морального права.

Цитата:

Сообщение от водку_хочешь

Консоли меня вводят в уныние

аналогично. Поэтому несколько первых команд на новом линуксе идут как:

sudo -s
yum -y groupinstall "Server with GUI"
yum -y install xrdp tigervnc-server
ln -sf /lib/systemd/system/runlevel5.target /etc/systemd/system/default.target
systemctl start xrdp.service
systemctl enable xrdp.service
firewall-cmd --permanent --zone=public --add-port=3389/tcp
firewall-cmd --reload
restart


Ну, и после рестарта
netstat -antup | grep xrdp

для проверки работы XRDP и после этого уже нормальный терминальный доступ.

[водку_хочешь]

Цитата:

Сообщение от HOG

запросто. Моя старая работа - связьтелеком, общая пропускная способность каналов 1,4Т, около ста каналов, если мне не особо изменяет память.

А разве в таких компаниях не сдают всё под ключ? Это совсем другая весовая категория.

Цитата:

Сообщение от HOG

скорее МЫ получаем с организации за обслуживание, а не наоборот

Т.е. вы устанавливаете? Ну, тогда понятное дело. Вам Cisco выгодны.

Цитата:

Сообщение от HOG

по сути это end-user класса оборудование, несмотря на таковые характеристики.

И работать будет так, как настроят. Но если речь идёт о всей сети, причём крупной, с большим бюджетом и построенной на Циско, то смысл есть. А зачем связываться с ней в случае одного-двух устройств от этой компании? Я читал, что даже МТС кое-где перешла на Juniper (не Mikrotik, конечно, но и не Cisco). Объяснялось это тем, что у МТС есть свои спецы, которые всё проложат, установят и настроят. Весь остальной сервис, которые предоставляют представители Cisco, им не нужен.
А Mikrotik - разумное решение, где платят только за функции и производительность. Многоядреные Микротики ценой 30-40 тыс. руб., самое то для домашнего/офисного хостинга, с каналом в 0.5-1 гбит/с. Уровень у них как минимум не ниже, чем у ZyWall от ZyXEL. Про Cisco и говорить нечего, за такую цену там ловить просто нечего.

Кто-то писал, что если раньше сеть на Cisco обходилась в 15 тыс. долл., то на Микротиках всего 1.5 тыс. Это не в России. Нет проблем с обновлениями прошивок и простота в настройке (для знакомых с Линуксом). Но Керио всё равно удобнее! (потому и пользуемся).

Цитата:

Сообщение от HOG

что мешает хоститься в европах

Нуу, как минимум то, что такой необходимости просто нет Даже в хостинге в пределах России.
Но раз Керио наделил свой Контрол такими функциями, как обратный прокси и ограничение количества одновременных подключений с одного IP, т.е. чисто серверными функциями, значит, пусть лезет в кузов. Осталось совсем немного для полного счастья. Хотя, и так сойдёт.

Кстати, я вспомнил, похожие функции DoS-защиты, что имели древние ZyXEL, имеют сейчас и некоторые оптические модемы (для конечного пользователя), которые ставят некоторые операторы связи. Но из-за слабой аппратной части, Керио всё равно лучше, даже в том виде, в котором он сейчас.

Цитата:

Сообщение от HOG

Я говорю о "типа системном драйвере" который до связи с керио/веб-сервером/почтарем разрешает или запрещает соединение на основе сохраненных в SQL БД IP номеров.

Для этого надо ставить Кнтрол на виртуалку?

Цитата:

Сообщение от HOG

скорее плохое, чем хорошее.

Я склонялся именно к этому. Теперь буду фантазировать, насколько плохое. Но отчасти догадываюсь.

Цитата:

Сообщение от HOG

аналогично. Поэтому несколько первых команд на новом линуксе идут как:

Я там не нашёл команды сакэ (sake). Именно она должна быть первой!

Цитата:

Сообщение от водку_хочешь

в таких компаниях

как правило есть собственная служба автоматизации в которую входит и ИТ отдел. В ИТ отделе, равно как и в службе автоматизации есть любые специалисты в задачи которых входит в том числе и умение справляться с любой проблемой любого типа на любом оборудовании которое используется в бизнес процессах компании.

Цитата:

Сообщение от водку_хочешь

Т.е. вы устанавливаете? Ну, тогда понятное дело. Вам Cisco выгодны.

естественно, ибо иметь в составе ИТ службы CCNA или CCNE сейчас себе позволить может далеко как не любая организация, а я - ИП-шник который оказывает услуги (возмездные, кстати) по установке, настройке и поддержке оборудования такого класса. Так что, да. Мне - выгодно.

Цитата:

Сообщение от водку_хочешь

построенной на Циско, то смысл есть. А зачем связываться с ней

а затем, что компании имеют свойства развиваться, сети увеличиваться в размерах, и.т.д. И последующая массовая замена оборудования по любым причинам (отсуствие нужного функционала, снятие с производства, вопросы совместимости, и.т.п) влетят в более "бОльшую копеечку" (простой системы, упущеная прибыль, и.т.д.) нежели чем установка оборудования не имеющего таких проблем, пусть даже и за большие денежки.

Цитата:

Сообщение от водку_хочешь

Керио наделил свой Контрол такими функциями, как обратный прокси и ограничение количества одновременных подключений с одного IP, т.е. чисто серверными функциями

то и смысл его использования есть пока исключительно в "SOHO" сегменте, по меньшей мере до той поры, пока эти самые "чисто серверные" не будут доведены до достаточного функционала. Пока-же полный список "сервисов" описан [Для просмотра данной ссылки нужно зарегистрироваться], и почему-то я не вижу в них наличия защиты от DDoS/Flood атак.

Цитата:

Сообщение от водку_хочешь

Для этого надо ставить Кнтрол на виртуалку?

я же говорил - это совершенно отдельное ПО как раз для защиты от указанного типа атак, и ставить его можно вообще на любой шлюзовой машине, и насколько мне помнится, тоно было в качестве подвиндовой версии...

Цитата:

Сообщение от водку_хочешь

Но отчасти догадываюсь.

не уверен, но, для меня, например, это реально стало плохой новостью...

Добавлено через 1 минуту

Цитата:

Сообщение от водку_хочешь

не нашёл команды сакэ (sake)

у меня эту команду лучше исполняет женщина, причем еще лучше в ее Русской интерпретации.

Цитата:

Сообщение от HOG

не уверен, но, для меня, например, это реально стало плохой новостью...

Я, кагбэ, не в теме этой новости и вообще, но в новогодние хотелось бы поспать спокойно. Если бы совершенно случайно кто-то мне в личку намекнул, есть ли смысл дергаться перед концом новогодних и в какую сторону - было бы неплохо...

Цитата

Сообщение от exchar

Я, кагбэ, не в теме этой новости и вообще, но в новогодние хотелось бы поспать спокойно. Если бы совершенно случайно кто-то мне в личку намекнул, есть ли смысл дергаться перед концом новогодних и в какую сторону - было бы неплохо...

Плюсую

exchar,
Mr.Torture, см. личку.

апчомречь?

naliman, сегодня объясню ближе к вечеру, когда сайт переносить будем.