abclinuxu.cz AbcLinuxu.cz itbiz.cz ITBiz.cz HDmag.cz HDmag.cz abcprace.cz AbcPráce.cz
AbcLinuxu hledá autory!
Inzerujte na AbcPráce.cz od 950 Kč
Rozšířené hledání
×

    včera 17:11 | Bezpečnostní upozornění

    Zero Day Initiative zveřejnila informace o 6 bezpečnostních chybách (1, 2, 3, 4, 5, 6) v MTA Exim. Nejvážnější z nich CVE-2023-42115 má CVSS 9.8. Na opravě chyb se pracuje.

    Ladislav Hagara | Komentářů: 6
    včera 16:33 | Bezpečnostní upozornění

    Knihovna libvpx byla vydána ve verzi 1.13.1. Řešena je kritická bezpečnostní chyba CVE-2023-5217 (heap buffer overflow in vp8 encoding). Chyba je již opravena také v Chrome / Chromium 117.0.5938.132 a Firefoxu 118.0.1.

    Ladislav Hagara | Komentářů: 0
    29.9. 23:55 | Nová verze

    Balíček kmod s nástroji pro práci s linuxovými moduly byl vydán ve verzi 31. Nově umí modprobe zavést modul nacházející se v libovolném adresáři (# modprobe ./drivers/gpu/drm/i915/i915.ko).

    Ladislav Hagara | Komentářů: 0
    29.9. 23:11 | IT novinky

    Adventura Trüberbrook je na portále GOG.com zdarma, akce trvá do 2. října.

    Fluttershy, yay! | Komentářů: 0
    29.9. 12:44 | Nová verze

    Sound Open Firmware, projekt Linux Foundation, open source audio DSP firmware a SDK, byl vydán ve verzi 2.7.0. Z novinek lze vypíchnout podporu platformy AMD Van Gogh.

    Ladislav Hagara | Komentářů: 0
    29.9. 12:22 | Komunita

    Richard Stallman v den oslav 40. výročí GNU oznámil, že má rakovinu (YouTube).

    Ladislav Hagara | Komentářů: 41
    29.9. 08:00 | Zajímavý projekt

    DIY trackball Ploopy novou variantu Adept, na rozdíl od předchozích používá 44mm kouli, má symetrický tvar a šest tlačítek, snímač zůstává PMW-3360, novinkou je použití Raspberry Pi Pico, na kterém běží firmware QMK s podporou grafické konfigurační aplikace VIA. Předobjednávky jsou otevřeny za ceny 80-105 CAD.

    Fluttershy, yay! | Komentářů: 0
    28.9. 15:22 | IT novinky

    Probíhá Meta Connect 2023. Společnost Meta představuje své novinky v oblasti AI a virtuální, smíšené a rozšířené reality. Představeny byly nové chytré brýle Ray-Ban | Meta a headset Meta Quest 3.

    Ladislav Hagara | Komentářů: 0
    28.9. 12:00 | IT novinky

    Eben Upton oficiálně představil (YouTube) nové Raspberry Pi 5 (YouTube). Je více než 2x výkonnější než jeho předchůdce, model 4B.

    Ladislav Hagara | Komentářů: 12
    28.9. 08:00 | Nová verze

    Byl vydán (YouTube) Counter-Strike 2. Nativně také pro Linux. Jedná se o největší technologický skok v historii této populární herní série.

    Ladislav Hagara | Komentářů: 13
    Raději
     (50%)
     (50%)
    Celkem 4 hlasů
     Komentářů: 1, poslední dnes 07:28
    Rozcestník

    Dotaz: TCP syn flood mi na chvíli "usmrtil" firewall, proč?

    6.10.2015 20:50 dd
    TCP syn flood mi na chvíli "usmrtil" firewall, proč?
    Přečteno: 470×
    Ahoj, mám následující síť:

       internet
          |
          |
         eth0
          |
    router+firewall
      |           |
    eth1         eth2
      |           |
      |           |
    (DMZ )       (vnitrni sit, klienti, monitoring server)
    (web, ..)
    
    Z internetu router natuje provoz do vnitřní sítě přes eth2. Přes eth1 routuje do DMZ, kde je web, mail apod. Na web server byl několikaminutový SYN flood útok, provoz cca 60 Mbit/s (nevím přesně, většinu útoku byl router pro monitoring server nedostupný). Na web serveru se objevilo v logu:
    Oct  6 15:19:00 web kernel: possible SYN flooding on port 80. Sending cookies.
    ...
    
    Jenže na routeru/firewallu, kde je několik pravidel typu max. počet spojení za minutu ze zdrojové IP adresy se objevilo toto:
    Oct  6 15:19:10 r kernel: martian source .....
    Oct  6 15:19:10 r kernel: ll header: ....
    Oct  6 15:19:15 r kernel: __ratelimit: 20252 callbacks suppressed
    Oct  6 15:19:15 r kernel: xt_hashlimit: max count of 65536 reached
    Oct  6 15:19:15 r kernel: xt_hashlimit: max count of 65536 reached
    ....
    
    Myslím si, že xt_hashlimit to hlásí z toho důvodu, že TCP syn flood byl z moc IP najednou a pravidla na omezení počtu spojení za minutu na zdrojovou adresu vytváří každé jedno záznam v hash tabulce a ta se prostě zaplnila. OK. Jenže jedna otázka je - jak ty tabulky defaultně zvětšit, druhá zásadnější - proč byly nedostupné všechny stroje v DMZ? Hash tabulky se vztahují ke konkrétnímu pravidlu na web tak proč to ovlivnilo i ostatní servery a zapříčinilo nedostupnost routeru?

    Odpovědi

    6.10.2015 21:23 GeorgeWH | skóre: 42
    Rozbalit Rozbalit vše Re: TCP syn flood mi na chvíli "usmrtil" firewall, proč?
    jak ty tabulky defaultně zvětšit

    iptables
    6.10.2015 21:58 dd
    Rozbalit Rozbalit vše Re: TCP syn flood mi na chvíli "usmrtil" firewall, proč?
    Takže jedině překompilovat iptables nebo pokaždé specifikovat velikost? A je to tak, že 2 různá pravidla = 2 tabulky, tzn. nesdílí se to a proto je divné, proč byl router úplně nedostupný? ...
    6.10.2015 22:13 GeorgeWH | skóre: 42
    Rozbalit Rozbalit vše Re: TCP syn flood mi na chvíli "usmrtil" firewall, proč?
    6.10.2015 21:59 Petr Holik
    Rozbalit Rozbalit vše Re: TCP syn flood mi na chvíli "usmrtil" firewall, proč?
    Ahoj,

    vezmu to postupne:
    • martian source ..... -> dorazil paket co by na prislusny interface dorazit nemel viz Martian_packet
    • __ratelimit: 20252 callbacks suppressed -> omezeni potu logovanych zprav kernel -> syslog da se vypnout pomoci sysctl -w net.core.message_cost=0
    • xt_hashlimit: max count of 65536 reached -> prekrocen maximalni pocet zaznamu v hashtabulce - da se zvetsit --hashlimit-htable-max XYZ je vhodne take pak umerne navysit i --hashlimit-htable-size
    Dalsi vec je, ze pokud mas zapnuty connection tracking, tak to je take potreba zvysit, jinac to take vetsi pocet spojeni nezvladne sysctl net.ipv4.netfilter.ip_conntrack_max defaultne cca 65k

    60Mbit: 1024 * 1024 * 60 / 8 / 60 bajtu (cca velikost TCP SYN paketu) = 131 172 SYN paketu za sekundu := to je cca sakra hodne :) Pokud se dobre pomatuju, radove 30Mbit SYN znedostupnilo relativne nedavno docela velke zpravodajske weby. zvlast, kdyz pro kazdy paket se musi divat do hashtabulky a hledat naky omezeni.

    Muzes vyzkouset iptables -A XYZ -p tcp --syn -m limit --limit X/s mohlo by se chovat lepe. Ale obecne, pokud nemas hodne zeleza a casu experimentovat, tak se tomu brani dost tezko(pokud teda nepouzijes neco ve stylu https://www.cloudflare.com/ a podobne.

    Založit nové vláknoNahoru

    Tiskni Sdílej: Linkuj Jaggni to Vybrali.sme.sk Google Del.icio.us Facebook

    ISSN 1214-1267   www.czech-server.cz
    © 1999-2015 Nitemedia s. r. o. Všechna práva vyhrazena.