The OpenNET Project: Предотвращение DoS атак в FreeBSD

Предотвращение DoS атак в FreeBSD	[исправить]
* "sysctl -w net.inet.tcp.msl=7500" - время ожидания ACK в ответ на SYN-ACK или FIN-ACK в миллисекундах; * "sysctl -w net.inet.tcp.blackhole=2" - все пакеты на закрытый порт отбрасываются без отсылки RST; * "sysctl -w net.inet.udp.blackhole=1" - отбрасывать пакеты для закрытых портов; * "sysctl -w net.inet.icmp.icmplim=50" - защита от генерирование потока ответных пакетов, максимальное количество ICMP Unreachable и TCP RST пакетов в секунду; * "sysctl -w kern.ipc.somaxconn=32768" - увеличение числа одновременно открытых сокетов; * Сборка ядра с опцией DEVICE_POLLING (далее: sysctl kern.polling.enable=1; sysctl kern.polling.user_frac=50);


04.11.2004 , Автор: bsdportal.ru , Источник: http://www.bsdportal.ru/viewtopic.p... Ключи: icmp, poll, tcp, user, udp, freebsd, ip, device, socket, time, sysctl, ipc, dos
Раздел: Корень / Администратору / Система / FreeBSD специфика / Увеличение безопасности FreeBSD

Обсуждение

[ RSS ]

1.1, AoL (?), 21:27, 11/11/2004 [ответить] [к модератору]	+/–
А какой смысл device polling'а?

1.2, Gezm0 (ok), 02:21, 12/11/2004 [ответить] [к модератору]	+/–
Написано доходчиво и внятно. Интересует, собственно, насколько работоспособно и не убьёт ли сетку на freebsd 5.3-stable. На боевом тазике по граблям ходить боязно, а сымитировать на подопытном сервере работу боевого тазика затруднительно.

1.3, NAIR (ok), 00:01, 16/11/2004 [ответить] [к модератору]	+/–
Действительно красиво и просто. Так всё же делал ли кто это на боевой машине?

1.4, вот.. (?), 05:12, 16/11/2004 [ответить] [↓] [к модератору]

+/–

Я делал, кроме имхо бессмысленного девайс поллинга, только у меня еще и:

options RANDOM_IP_ID
options TCP_DROP_SYNFIN

И в sysctl:

security.bsd.see_other_uids=0
net.inet.tcp.blackhole=2
net.inet.udp.blackhole=1
kern.ipc.somaxconn=1024
net.inet.icmp.drop_redirect=1
net.inet.icmp.log_redirect=1
net.inet.ip.redirect=0
net.inet.tcp.sendspace=32768
net.inet.tcp.recvspace=32768
net.link.ether.inet.max_age=1200
net.inet.icmp.maskrepl=0

2.5, NAIR (??), 21:29, 24/11/2004 [^] [^^] [^^^] [ответить] [к модератору]	+/–
И как помогло? И как понять то , что действительно помогло?

1.6, Oleg (??), 10:22, 31/03/2006 [ответить] [↑] [к модератору]	+/–
Ксли у тебя сетевуха пулинг не поддерживает, это не значит что он бессмысленный девайс.

1.7, wp2 (?), 21:42, 04/09/2009 [ответить] [к модератору]	+/–
>sysctl -w net.inet.udp.blackhole=1" - отбрасывать пакеты для закрытых портов а они что не отбрасываются? А что с ними происходит?

Добавить комментарий

Имя:
E-Mail:
Заголовок:
Текст: