[Linux] VServer gegen (d)DoS absichern

Du kannst zwar die IP Adressen mit einer Softwarefirewall blocken aber sobald die Pakete am Netzwerkadapter ankommen ist es eh zuspät. Um eine richtige Hardwarefirewall oder eine entsprechend dicke Anbindung kommst du nicht rum um dich effektiv zu schützen. Aber das kostet beides Geld. Es gibt Anbieter die Firewallnutzung für 50€/Monat anbieten.

Mich würde auch interessieren was für eine Art Angriff das war.

Gegen DoS Angriffen kann man sich Softwareseitig schützen in dem man Request Limits setzt und IP's sperrt, da bei DoS Angriffen versucht wird die Serversoftware zu überlasten.

Bei DDoS Angriffen wirds schwieriger, weil dort versucht wird die Netzwerkanbindung zu überlasten. Wenn da das Paket schon an deiner NIC ankommt ists schon zu spät. Da gibts halt die möglichkeit wie Chris schon genannt hat der Hardwarefirewall oder eine Anbindung z.b. über Level3 oder Link11 was du aber nicht beeinflussen kannst, weils voll auf Seiten des Rechenzentrums liegt. Es gibt auch Rechenzentren die gut gegen DDoS Angriffe abgesichert sind, da sind die Serverstellplätze aber dann etwas teurer.

Ich hab mal gehört das es die möglichkeit gibt, bei nem DDoS einfach den Gateway ändern, ob es klappt oder geht weiß ich nicht

Bei nem richtigen DDoS haste noch nichtmals ne chance auf den Server drauf zu kommen wenn du nicht gerade vor Ort bist und direkten physischen Zugang zum System hast. Und wenn du den Gateway geändert hast kommste ehe nicht mehr drauf.

Die teuersten Varianten sind auf Netzwerkebene die Angriffe zu erkennen und dann im gesamten eigenen Netz zu verteilen um sie abzuschwächen. Damit das aber nicht direkt alle Server lahm legt braucht man nen recht goßes Netz. Das macht z.B. OVH.

Die billigste Variante ist bei bis zu 3-5 Angreifern die IP's direkt beim Carrier eingehend zu sperren, bei >5 IP's die IP des angegriffenen Servers beim Carrier zu Nullrouten. Bei letzterem ist der Server für die Zeit natürlich komplett nicht mehr erreichbar verhindert aber teure Traffic Kosten.

n Kollege hat ne mysql DB fragt ab wie oft etwas aufgerufen wird, und wenn die AUfrufe pro sekunde x überschreiten wird die IP per iptables gebannt für x Stunden

fail2ban hat u.a. auch nen Modul um DOS Angriffe auf SSH (und glaube ich auch Apache2) Servern zu erkennen. sonst kann man auch noch solche Sachen machen:

Mit dieser IPTables Regel limitiert man die Verindungen einer einzigen IP auf 8 und es darf max. 1 Verbindung pro Sekunde aufgebaut werden.