Dotaz: Co snese Linuxovy firewall ?

[ja_kral_ll]

Ahoj,

kolik je realne schopen uridit firewall postaveny na Linuxu ? Jen par pravidel, vse z venku zahodit, krom par IP. Zadny NAT nebo neco podobneho.

Mame problem, ze DDOS cca 400mb UDP trafficu na jednu nasi IP dokaze zabit stavajici firewall Cisco ASA 5510 (managovane).

Jen mne zajima kolik je schopne x86 unest, neco takoveho by mi nikdo nepovolil, stejne koupi se nejaka dalsi priserne draha krabice

Diky

Odpovědi

[Sten]

Pokud jde o takhle jednoduchý firewall, tak to záleží hlavně na procesoru a taky na síťových kartách, ale ani na 1 Gbps jsem s ním na AMD Athlonech nikdy neměl výkonnostní problém.

[ja_kral_ll]

Dejme tomu ze to bude nejaky hi-spec server, 10gb sitovky v PCIe 16x, XEON(y) atp.

Zajima mne kolik kdo vyzdimal z x86 architektury :)

[homunkulus]

Vyzdimali i 10Gbps. Strejda google rekne vic.

[Petr Šobáň]

Tak je něco shnilého na HW.

Je tam nejnovější FW?

[ja_kral_ll]

Je to managovane, takze k tomu nemam pristup. Jedine se dostanu k SNMP kde vidim jak CPU triskne o strop a zacne to zahazovat packety.

Dela to nejakou prisernou packet inspection ktera bude hodne narocna...

[Petr Šobáň]

No tak někdo k tomu snad přístup má a měl by to řešit ne ?

[j]

Presne tak, jestli je to providera, tak mu slapnout na krk, at si ten DOS chyta na strane u sebe a k vam to vubec nepousti.

[homunkulus]

V rezimu "predem dane ip pust, vse ostatni zahod a nic jineho s tim nedelej" urcite utahne prehazovat datovy tok z jedne 1Gbps karty na druhou celkem v pohode. Chce to jen stabilni HW.

[j]

Gbit to zvladne i NATovat a vsemozne manipulovat. Samo se muze projevit blbe postavenej firewall = blby poradi pravidel. Ale limity jsou o dost vejs.