Dotaz: Limity pro apache

[Sir Mikhail]

Zdravím,

jak je možné nastavit limit dat pro návštěvníka serveru?

Mám doma webový server a kamarád mě upozornil, že by klidně mohl nechat wget stahovat mé stránky pořád dokola a tím mi server zablokovat (je to domácí server, upload je 40kb, mnoho jiného by už neprošlo).

Díky

Michal

Odpovědi

[Martin Tůma]

Není. I kdyby si na svém "serveru" zablokoval veškerou komunikaci, stejně budou data na stroj přicházet a teprve na tom stroji je budeš "zahazovat". Jenomže datové limity (šířka pásma) je určována/počítána na počítačích, které jsou před tím tvým strojem. Blokování/nastavení limitů by tak musel provádět už tvůj poskytovatel připojení.

[AraxoN]

Až také čierne to nie je... Ak by mu len dookola wget-oval stránky, tak to vie v logu nájsť a nastaviť mu deny from 12.34.56.78. Ak ten druhý má dynamickú IP, tak to by bolo zložitejšie...

Čo takto mod_cband, alebo mod_bandwidth ? Síce som to neskúšal, ale nevyzerá to zle.

[Michal Kubeček]

Když to budete řešit na úrovni Apache, pořád to znamená nejméně jeden odeslaný paket na pokus o příchozí spojení (možná i víc). Při řešení na úrovni netfilteru se dá vyhnout i tomu. Ale příchozím paketům nezabrání tak jako tak.

[Jiří J.]

Nevím, jestli jste nepochopil vy nebo já, ale sebelepší nastavení na jeho stroji nezabrání počítání dat u ISP..

[AraxoN]

Písal, že má limit 40kb smerom von zo servra. Nič o počítaní dát. Takže hocikto kto má smerom z internetu k sebe linku lepšiu než 40kbps dokáže jeho upload úplne zahltiť tým, že si nechá dookola posielať nejaký primerane veľký súbor cez HTTP. Tomu sa nastavením Apache dá zabrániť, ale je pravda, že existuje aj mnoho ďalších spôsobov ako dosiahnuť zahltenie tejto linky, bez toho aby to on vedel na svojom konci ovplyvniť. Možno to ale má s providerom riešené cez port forwarding tak, že sa mu na jeho server preposiela len HTTP...

[Jiří J.]

Pravdu máte v tom (ne)počítání dat, přesměrovávání HTTP od providera se mi nezdá pravděpodobné, spíše mu přidelil celou veřejnou IP (?) - obojí lze řešit možná ještě lépe na úrovni jádra v netfilteru, ale většímu DoS, případně DDoS se moc neubrání..
Co se týká původního dotazu - limit pro upload (přenesených dat) není moc dobré provádět - klasický případ celého sídliště pod jednou veřejnou IP.. pokud něco, tak omezení toku dat by mohlo pomoci (v případě většího provozu (to bych asi řešil na základě limit match v netfilteru)).. možná něco z LARTC howto pomůže..