Инфраструктура для защиты от DDoS

[Twinker]

Доброго времени суток, посетители форума портала Zone-Game.info!
Прочитав тему с продажей скрипта на основе PHP (Web-часть) + C++ (Client-часть) за аж 4 000 у.е, решил предоставить кому-либо услугу на много качественней (без потери онлайна, невозможности подключить защиту от вредноносного ПО на стороне клиента) и на много дешевле.

Итак, схема такова:



http://www.gliffy.com/go/publish/4935840
Сразу скажу, все оборудование будет в OVH. То есть будет организована мощная защита от UDP + TCP (настройка стека)

Описание схемы:

Клиент обращается через Интернет на DNS Google, который перенапрвляет на одну из Нод (*). На нодах установлен TCP LoadBalancer, который способен выдерживать 50 000 TCP запросов в секунду (на деле - будет менее 20 000, т.к UDP трафик фильтруется, а TCP - обрабатывается).
Затем, прокси-сервер ноды с помощью схемы Load-Balancing'a под названием RoundRobin определяет менее нагруженный сервер VDS (**), на который и отсылается запрос.
VDS-сервер, получивший запрос, заменяет содержимое пакета (s-IP) и отсылает его логин-серверу с помощью xInetD, затем получает ответ, возвращает на ноду, а нода отдает пакет клиенту.
Пинг при этом повышается на 1-5ms.

Тем самым, IP VDS-серверов, а тем более реального сервера за "проксей" узнать практически нереально.

В чем эта защита лучше той:

Это защита и настройка серверов. Чтобы уложить сервер в OVH с помощью DDoS атаки, нужно иметь неплохие ресурсы для SYN атаки (UDP они спокойно фильтруют). При этом, "когда отпустишь - тогда и встанет". То есть нужно иметь очень много ресурсов. Ноду при этом не положишь. Порты будут грамотно закрыты, открыты только самые нужные (TCP порт проксирования [2106]) и 22 (SSH, но ограничение по IP). Причем не на программном уровне, а на стороне оборудования (фильтров) с помощью OVH Professional Mode. А так же, уже на программном уровне - будет настроен сетевой стек.
У той защиты - обычный HTTP сервер, при обращении на который он выдает IP и порт, который впоследствии клиент вписывает в l2.ini и подключается к нему. Весь "облом" в том, что если потребуется например лицензия LG (LameGuard), то придется покупать не 1 лицензию, а столько, сколько VDS серверов, а так же, можно спокойно узнать все IP серверов и уложить по одиночке (при цене их в 10 у.е потребуется 5 минут на уложение одного даже с одного сервера. Обычным Perl скриптом начать атаку с сервера с каналом 100mbps на 5 минут и VDS сервер заблокируют на неопределенный срок).
А так же, работа прокси-сервера между VDS/VPS и Game-Server'ом вообще не ясна. ТС даже не говорит, что между ними, какой проксирование. Вообще ничего не понятно. Он как будто сам не знает этого.

Используемые услуги

2-3 сервера на VDC (не VDS/VPS, а Virtual Data Center)
3-15 серверов на VDC (Virtual Data Center)

Цена и время настройки готовой "инфраструктуры":
Цена готовой и настроенной сети и серверов равна $1500.
Развертывание под-инфраструктуры займет около недели (2-7 дней)
От Вас потребуется только IP реального сервера. Вам будет выдан URL для доступа в панель управления (В ней возможен просмотр статуса серверов)

Я уже пробовал работать с DDoS-Guard, MegaFon. Ни те, ни другие не смогли оправдать надежд. OVH - самый нормальный сервис по защите от DDoS, но требует грамотной настройки.

Контакты:
ICQ: 142-452
Skype: dedichost Заблокировали недоброжелатели

[Пеня]

Я внесу небольшой ньюанс, теперь для того что бы положить OVH можно юзать просто UDP флуд.

[Twinker]

Хм, чем это вызвано? Думайте, раз всех клиентов OVH подключили к защите, то все стало проще?
Если так, то Вы ошибаетесь. На стадии Beta-тестирования все клиенты уже были подключены к этой услуге.

Если у Вас есть какие-то другие факты, прошу Вас высказать их тут. Все только будут рады, в том числе и я. Хотелось бы услышать, какие уязвимости есть.

P.s - UDP пакеты я к примеру полностью отрезаю в OVH Professional Mode на аппаратном уровне, поэтому вроде не должно ничего упасть

[Пеня]

Хм, чем это вызвано? Думайте, раз всех клиентов OVH подключили к защите, то все стало проще?
Если так, то Вы ошибаетесь. На стадии Beta-тестирования все клиенты уже были подключены к этой услуге.

Если у Вас есть какие-то другие факты, прошу Вас высказать их тут. Все только будут рады, в том числе и я. Хотелось бы услышать, какие уязвимости есть. P.s (UDP пакеты я к примеру полностью отрезаю в OVH Professional Mode на аппаратном уровне, поэтому вроде не должно ничего упасть )

Это вызвано детальным анализом сети OVH и новыми решениями.
Даже 50 gb/s вызывают анальный баттхерт для ваакума и отрубают несколько важных сервисов.

Тестили, Знаем.


Странновато конечно, но правда.

[Twinker]

Это вызвано детальным анализом сети OVH и новыми решениями.
Даже 50 gb/s вызывают анальный баттхерт для ваакума и отрубают несколько важных сервисов.

Тестили, Знаем.


Странновато конечно, но правда.

Хм, вроде тоже тестировали, ничего не падало. Ну ладно, разводить тут споры по этому поводу - не вижу смысла. Можно создать отдельную тему в "Курилке" с сабжем по типу "Обсуждение OVH VAC"

[Пеня]

Хм, вроде тоже тестировали, ничего не падало. Ну ладно, разводить тут споры по этому поводу - не вижу смысла. Можно создать отдельную тему в "Курилке" с сабжем по типу "Обсуждение OVH VAC"

Ну врядли вы туда 70 гиг тестили. Щас при потоке в 100 они зануллят клиента

Слишком большой трафик который нарушает инфраструктуру, вообще они 120 гб\с рекламируют


Я так и думал что скоро шоу с фильтрацией 300-400 гиг закончится, все ресурсы идут на туеву кучу клиентов и держать такое количество трафика ваакум не будет)

[Twinker]

Ну врядли вы туда 70 гиг тестили. Щас при потоке в 100 они зануллят клиента

Слишком большой трафик который нарушает инфраструктуру, вообще они 120 гб\с рекламируют


Я так и думал что скоро шоу с фильтрацией 300-400 гиг закончится, все ресурсы идут на туеву кучу клиентов и держать такое количество трафика ваакум не будет)

Точно не скажу, но более 20 Gbps.

Ну это естественно Они TCP трафик фильтруют на очень низком уровне. Это сделано специально. Не будут же они всю сеть свою в 3.5Tbps обрабатывать на каналах в 460Gbps...

Да и 100Gbps не есть плохо Даже совсем не плохо.

[Пеня]

Точно не скажу, но более 20 Gbps.

Ну это естественно Они TCP трафик фильтруют на очень низком уровне. Это сделано специально. Не будут же они всю сеть свою в 3.5Tbps обрабатывать на каналах в 460Gbps...

Да и 100Gbps не есть плохо Даже совсем не плохо.

Ну да. 100gbps это дохерища трафика который сгенерирует не каждый школоло

да и обходится такой ддос дороговато..

[Ro_0TT]

Twinker напоминает мне бабку на базаре. Все предлагает и предлагает... В действительности ваша "идея" имеет много общего с популярной, на данный момент системы "прокси-слайдера". Можно сервер поставить в том же променеджере, а на логин цеплять проксисервера (клиенту можно отправлять наименее загруженные).

Это лишь прокси, все ведут на один сервер. Хоть 20 штук сделайте. Что вы продаете за 1500$ - я не понимаю. Даже если положат променеджер (фильтр), другие ВПС спокойно будут направлять игрока на сервер (на реальный IP). При этом игроки не смогут узнать реальный IP сервера, будут получать лишь IP VPS.

[Wishmаster]

да твинкер уже действительно заколупал. продаёт говно. и сам криваручка.
штормвал номер 2

смотрите на меня я твинкер я мегасуперкосмический админ пишу защиты настраиваю сети и ддоса в 1000Tbps не пройдёт.

а на самом деле арендовал пару дедов в овх и ресселит