سوال در مورد دیداس و کلودفلر

[yastheme]

حالا یک سوال
تو کلودفلر a record بگیریم به هاست دوم
آی پی رو مستقیم نشون میده دیگه؟
برای اون چه راهی هست؟
هر 2 سرور از کلودفلر استفاده کنن
تحقیق شده آی پی دیداس نمیشه دامنه دیداس میشه
هر آی پی روی دامنه ست میشه نال میشه

نمی دونم ؛ باید تحقیق کنید ولی سعی کنید از ای پی مستقیم استفاده نشه.

هیچ دیتا سنتری به خاطر حملات رو دامین Http آی پی رو نمی بنده, مطمئن باشید اگه آی پی شما بسته شده اتک لایر 4 رو آی پی داشتید

[raminramz]

نمی دونم ؛ باید تحقیق کنید ولی سعی کنید از ای پی مستقیم استفاده نشه.

هیچ دیتا سنتری به خاطر حملات رو دامین Http آی پی رو نمی بنده, مطمئن باشید اگه آی پی شما بسته شده اتک لایر 4 رو آی پی داشتید

لایه 4 است
کلودفلر لایه 4 رو ببنده واسم تا حدودی حالا اگه نسخه تجاریش رو استفاده میکنیم

روی لایه 7 کانفیگم خدا رو شکر خوبه
لایه 4 روتر و اینا رو آسیب میزنه هتزنر شبکش نسبت به ای مدل دیداس جالب نیست مسدود میکنه

بعضی وقت ها قدرتش به 9 گیگ هم میرسه

- - - Updated - - -

متاسفانه بازم ip رو بست

میشه به کلودفلر 2 تا ip داد؟
که اگه یکیش بسته بود اون یکی فعال باشه؟

اینطوری ادامه داشته باشه فایروال سخت افزاری میخواد

[pakradm]

اینطوری ادامه داشته باشه فایروال سخت افزاری میخواد

عرض سلام و ادب
دوست و همکار گرامی جناب raminramz

ببینید جهت مقابله با DDOS صرفا داشتن یک فایروال سخت افزاری مهم نیست بلکه مهم تر از آن میزان پهنای باند شماست.
دیتاسنتر Hetzner به میزان 200Mbps برای شما پهنای باند گارانتی نموده است اگر میزان اتک شما در عموم زمان ها بیش از 200Mbps باشد در اینصورت آیپی شما را قطع می کند. این قطع کردن به دلیل آسیب به روتر ها و سوییچ های دیتاسنتر نمی باشد بلکه به این دلیل است که اگر قرار باشد ترافیک 500Mbps به صورت 24x7 به سمت سرور شما بیاید آنگاه میزان پهنای باند شما خیلی بیشتر از 30TB ارائه شده می شود، آنگاه آیا شما حاضر به پرداخت هزینه مازاد آن هستید؟؟؟ شاید بگویید بله اما وقتی میزان ترافیک به 2Gbps هم برسد آیا باز حاضرید هزینه ماهانه 2Gbps را به صورت Full CAP که هزینه ای تقریبا در حدود 1500$ تا 2000$ دارد پرداخت نمایید؟؟؟
راه درست و منطقی مقابله با DDOS افزایش پهنای باند هست یعنی اگر حمله 300Mbps هست شما 500Mbps گارانتی پهنای باند داشته باشید تا شبکه سرور شما با اختلال مواجه نشود.
اما اگر امکان افزایش پهنای باند برای شما وجود ندارد بهترین راه NULL ROUTE کردن آیپی در شبکه BGP می باشد که این کار صرفا از طریق دیتاسنتر امکان پذیر است و دیتاسنتر ها معمولا چنانچه حمله DOS باشد، آیپی حمله کننده و چنانچه حملات DDOS باشد آیپی مقصد را NULL ROUTE یا اصطلاحا Black Hole می نمایند.
تمام فایروال های سخت افزاری ابتدا ترافیک را دریافت می کنند و سپس متناسب با Rule های تنظیم شده ترافیک را DROP می نمایند و این "دریافت ترافیک" یعنی باز هم از پهنای باند شما استفاده می شود و دیتاسنتر هتزنر آن را از 20TB ماهیانه کم می کند. یعنی در حالت فعلی اگر میزان حملات شما 200Mbps باشد و دیتاسنتر هتزنر IP شما را قطع نکند و شما هم یک فایروال سخت افزاری خیلی خوب داشته باشید باز هم چون پهنای باند شما 200Mbps است آنگاه تمام ترافیک ورودی شامل حملات شده و توسط فایروال DROP می شوند و عملا هیچ ترافیکی به سرور نخواهد رسید چون پهنای باند شما صرف 200Mbps است که همه اش شده حملات!!!
از فایروال های سخت افزای جهت جلوگیری از انتقال حملات به سرور ها استفاده می کنند یعنی اگر شما 500Mbps پهنای باند دارید آنگاه با داشتن یک فایروال سخت افزاری میتوانید جلوی اون 300Mbps حمله را بگیرید تا به سمت سرور نیامده و سرور پردازش سنگین نداشته تا با اختلال مواجه نشود. اما باز یادتان باشد در انتهای ماه باید هزینه پهنای باند 300Mbps حمله را نیز پرداخت کنید چون فایروال شما آن را دریافت و سپس DROP کرده است.

از تمام حرف هایم سه نتیجه می شود گرفت!!!
1- اولین قدم در مقابله با DDOS افزایش پهنای باند هست.
2- Hardware Firewall != Anti-DDOS Solution
3- اگر امکان افزایش پهنای باند ندارید تنها راه حل ممکن NULL ROUTE است.

چنانچه در صحبت هایم ایرادی وجود دارد، خوشحال می شوم آن را بازگو فرمایید.
متشکرم

[yastheme]

لایه 4 است
کلودفلر لایه 4 رو ببنده واسم تا حدودی حالا اگه نسخه تجاریش رو استفاده میکنیم

روی لایه 7 کانفیگم خدا رو شکر خوبه
لایه 4 روتر و اینا رو آسیب میزنه هتزنر شبکش نسبت به ای مدل دیداس جالب نیست مسدود میکنه

بعضی وقت ها قدرتش به 9 گیگ هم میرسه

- - - Updated - - -

متاسفانه بازم ip رو بست

میشه به کلودفلر 2 تا ip داد؟
که اگه یکیش بسته بود اون یکی فعال باشه؟

اینطوری ادامه داشته باشه فایروال سخت افزاری میخواد

نیاز به کلود فلر تجاری نداری؛ رو همین نسخه رایگان فقط بتونی آی پی اصلی رو مخفی کنی مشکلی نداری؛ از یه طریقی آی پی اصلی سرورت لو میره؛ اکثرش به دلیل همون ارسال ایمیل هست؛ اون مورد و بررسی کردید؟ ایمیل از سرور برای اتکر ارسال نمیشه؟

[raminramz]

نیاز به کلود فلر تجاری نداری؛ رو همین نسخه رایگان فقط بتونی آی پی اصلی رو مخفی کنی مشکلی نداری؛ از یه طریقی آی پی اصلی سرورت لو میره؛ اکثرش به دلیل همون ارسال ایمیل هست؛ اون مورد و بررسی کردید؟ ایمیل از سرور برای اتکر ارسال نمیشه؟

هاست دانلوده ایمیل ارسال نمیشه

از دامنه میزنه جالبه

فقط ip که روی دامنه هست نال میشه
بقیه چیزی نمیشه
اگه لو بره باید تک تک رو بزنه ببنده تا به اصلی برسه
توی کلودفلر این پکت ها ثبت شده یعنی از دامنه میزنه