মার্কিন যুক্তরাষ্ট্রের বাইরে সমস্ত সংযোগ আটকে দেওয়া, পোর্ট ৮০ বাদে কি উচ্চ সার্ভারের বোঝার কারণ হবে?


16

বেশিরভাগ সার্ভারের মতো (আমি ধরে নিই), আমাদের লোকেরা আমাদের পরিষেবাগুলিকে 24/7 জোর করার চেষ্টা করছে। আমার সিপিহুল্ক তাদের আইপি'র কালো তালিকাভুক্ত করেছে, তবে মনে হচ্ছে এটি যদি তারা প্রথম স্থানে না পায় তবে ভাল হত। আমি এবং আমার হোস্ট কেবলমাত্র ৮০ টির পরিবর্তে পোর্টগুলিতে সার্ভারের সাথে সংযোগ স্থাপন করে, সুতরাং আমি ৮০ বন্দর ব্যতীত আমেরিকার বাইরের সমস্ত দেশ থেকে সংযোগগুলি ব্লক করতে চাই this এটি স্থাপনের জন্য আমি আমার হোস্টের সাথে যোগাযোগ করেছি, তবে তারা দ্বিধায় ছিলেন কারণ তারা বলেছিলেন যে এটি ব্যতিক্রমী উচ্চ সার্ভার লোড তৈরি করবে। এটি একটি উত্সর্গীকৃত জিওন 1230 সার্ভার যা 32 জিবি র‌্যামের সেন্টোস 6.6 এবং আইপটেবলগুলি চালায়।

প্রথমত, এটি না করার কোনও কারণ? দ্বিতীয়ত, আমার হোস্ট আমাকে যা বলেছিলেন তা কি সঠিক? তৃতীয়ত, উচ্চ কার্যকারিতা প্রভাব ছাড়াই এটি সম্পাদনের কোনও উপায় আছে কি?


12
এটি দুর্ভাগ্যজনক যে আপনার হোস্টিং পরিচিতিটি উল্লেখ করেনি "তবে অনেক কম রক্ষণাবেক্ষণ, আরও ভাল সুরক্ষা এবং স্বল্প তালিকাভুক্ত সমস্ত নামক লো সার্ভার লোড দিয়ে আপনি যা চান একই জিনিসটি করার একটি শিল্পের স্ট্যান্ডার্ড উপায় রয়েছে you এবং আমি এটি 20 মিনিটের মধ্যে আপনার জন্য সেট আপ করব "" - তারা যে চেয়ারে বসবে তার মূল্য কোনও
সিসাদমিনের

যখন তারা
আপত্তি জানায়

উত্তর:


33

প্রতিটি আইপি পরিসীমা (প্রতিটি পরিসীমা তালিকাবদ্ধ করে) ব্লক করার জন্য নির্দিষ্ট নিয়মগুলি সেট আপ করা ভুল পদ্ধতির।

আপনার পরিচালনা পোর্টগুলিতে সমস্ত ট্র্যাফিক ছাড়ার জন্য আইপটিবেলে ডিফল্ট নিয়মগুলি সেট করুন। তারপরে কেবলমাত্র আপনার বিশ্বস্ত আইপি (আপনার এবং আপনার হোস্ট) থেকে অ্যাক্সেসের অনুমতি দেওয়ার জন্য বিধি যুক্ত করুন।

ডিফল্টরূপে সমস্ত কিছু অবরুদ্ধ করা, এবং কেবল অনুমোদিত ট্র্যাফিকের অনুমতি দেওয়ার জন্য সাধারণত "সুস্পষ্ট অস্বীকার সকল" বলা হয় এবং এটি একটি সেরা অনুশীলন হিসাবে বিবেচিত হয়। এই ক্ষেত্রে আপনার হোস্ট সম্পর্কে উদ্বিগ্ন পারফরম্যান্সের প্রভাব এড়াতেও সহায়তা করে।


আপনি যদি জানেন তবে ফায়ারওয়ালের মাধ্যমে কেবলমাত্র কয়েকটি আইপি স্পষ্টভাবে প্রকাশ করে আপনি সবাইকে সুস্পষ্টভাবে অস্বীকার করলে কেন এগুলি স্পষ্টত অস্বীকার করবে?
বেন

এটি সম্পর্কে সত্যই অন্তর্নিহিত কিছুই নেই ...
mr-sk

শ্বেত তালিকাভুক্ত করার জন্য একটি সম্ভাব্য উদ্বেগ হ'ল দূরবর্তী অ্যাক্সেস। আপনার একটি নির্ভরযোগ্য ভিপিএন (এই সার্ভার থেকে পৃথক) প্রয়োজন হবে এবং এর আইপি পরিসীমাও মঞ্জুর করুন।
ফু বার

9

এটি করার জন্য, আপনাকে হাজার হাজার ফায়ারওয়াল বিধি যুক্ত করতে হবে, প্রতিটি নেটব্লকের জন্য একটি, যেখানে কোনও দেশ এর সাথে যুক্ত হতে পারে এক হাজার থেকে কয়েক হাজার নেটব্লক।

একটি অনুরোধ এলে এটি প্রতিটি একক নিয়মের বিরুদ্ধে পরীক্ষা করতে হবে, এটি কয়েক ডজন বা সম্ভবত কয়েকশো নিয়মের জন্য খুব কম সময় নেয় তবে আপনার যতগুলি নিয়ম ব্যবহার করা প্রয়োজন, তার সাথে (1) প্রতিটি অনুরোধটি উল্লেখযোগ্যভাবে কমিয়ে দেওয়া হবে এবং (২) এটি প্রচুর সিপিইউ ব্যবহার করবে।

উল্লেখযোগ্য পারফরম্যান্সের প্রভাব ছাড়াই এটি করার উপায় আপনি ইতিমধ্যে যা করছেন তা করা: সমস্যাযুক্ত হচ্ছেন কেবলমাত্র সেই নির্দিষ্ট ঠিকানাগুলিকেই ব্লক করা।


জবাব দেওয়ার জন্য আপনাকে ধন্যবাদ, মাইকেল। কেবলমাত্র মার্কিন-ভিত্তিক আইপিকে অনুমতি দেওয়ার কোনও উপায় নেই , যার ফলে কেবল একটি নিয়ম পরীক্ষা করা দরকার?
বড় আয়রন

2
@ বিগিরন অবশ্যই তা নয়। মার্কিন যুক্তরাষ্ট্রে হাজার হাজার নেটব্লক রয়েছে। আপনি যেভাবেই হারাবেন।
মাইকেল হ্যাম্পটন

1
@ সামুয়েলএডউইন ওয়ার্ড নং, এটি হয় না। এগুলি পুরো জায়গা জুড়ে ছড়িয়ে থাকা সত্ত্বেও, সাধারণত এই জাতীয় ব্লকলিস্টগুলি কয়েক শতাধিক এন্ট্রি বেশি করে না।
মাইকেল হ্যাম্পটন

1
মন্দাটি কতটা তাত্পর্যপূর্ণ তার জন্য আপনার কাছে কোনও উল্লেখ রয়েছে? একটি রৈখিক অনুসন্ধান যদিও সমস্ত রুলসেটগুলি অত্যন্ত মারাত্মকভাবে অদৃশ্য বলে মনে হচ্ছে, খুব কমপক্ষে একটি বাইনারি অনুসন্ধানের অর্থ 60০,০০০ রুল টেবিলটি সারণিতে কেবল ১ 16 টি প্রোব লাগবে, এবং এটি ট্র্যাফিকটি ওয়েবসার্ভারে যাওয়ার চেয়ে আরও দ্রুততর হতে পারে যা হতে পারে অনুরোধটি পরিবেশন করতে ডিস্ক I / O চালিত করতে হবে। আমি iptables এ বড় রোলসেটে কোনও মেট্রিক খুঁজে পাইনি।
জনি

1
@ জোনি নেটফিল্টার (iptables) এর নিয়মগুলি নিয়মিতভাবে
রস রিজ

5

আপনার যা প্রয়োজন তা হ'ল আইপসেটস নামে একটি সরঞ্জাম

আইপি সেটগুলি লিনাক্স কার্নেলের অভ্যন্তরে একটি কাঠামো, যা আইপসেট ইউটিলিটি দ্বারা পরিচালিত হতে পারে। ধরণের উপর নির্ভর করে, বর্তমানে একটি আইপি সেট আইপি ঠিকানাগুলি (টিসিপি / ইউডিপি) পোর্ট নম্বর বা ম্যাক অ্যাড্রেস সহ আইপি ঠিকানাগুলি কোনও উপায়ে সংরক্ষণ করতে পারে, যা কোনও সেটের বিপরীতে প্রবেশের সাথে মিল রেখে বাজ গতি নিশ্চিত করে।

এখানে গুরুত্বপূর্ণ বিষয় লক্ষণীয় এটি দ্রুত বজ্রপাত হয়! এ কারণেই বিপুল সংখ্যক আইপি নেটওয়ার্কগুলি ইপটবেবল বিধিগুলির কয়েকশ বা কয়েক হাজার লাইনের পরিবর্তে একটি একক হ্যাশ দ্বারা প্রতিনিধিত্ব করা যেতে পারে।

অবরুদ্ধ দেশগুলির জন্য এই উদাহরণটি দেখুন :


1

এইভাবে এটি করা বা না করা সম্পর্কে কিছুটা উপেক্ষা করা ভাল ধারণা, আপনি iptables এর জন্য জিওআইপি মডিউলটি দিয়ে যা চান তা করতে পারেন

মডিউলটি তৈরি এবং ইনস্টল করার পরে (এবং আপনার আইপি তালিকাগুলি মাসিক আপডেট করা থাকে), আপনি পৃথক দেশগুলিকে ব্লক করার জন্য এই জাতীয় জিনিসগুলি করতে পারেন:

iptables -I INPUT -m geoip --src-cc CN -j DROP

অথবা --src-cc US -j ACCEPTআপনি যদি সেই দেশগুলিকে রাখতে চান যা নির্দিষ্ট করে রাখতে চান তবে ব্যবহার করুন ইত্যাদি।


"সুস্পষ্টভাবে অস্বীকার করুন" এবং শুধুমাত্র একটি একক দেশকে অনুমতি দেওয়ার পরেও কি পারফরম্যান্স বিপর্যয় হবে না?

@ অ্যান্ড্রি ডানিয়েল, আমি স্বীকার করেছি যে আমি নিজেও জিওআইপি কোডটি দেখিনি, তবে ধরে নিচ্ছি যে তারা একটি নিরপরাধ বাস্তবায়ন ব্যবহার করে যা ক্রমবর্ধমান নেটব্লকগুলির (যেমন, একটি ট্রাই) তুলনা করার চেয়ে স্মার্ট, এটি হওয়ার দরকার নেই।
স্কট ডডলি

এবং যদি আপনি আইপিভি 4-এর কথা বলছেন এবং নিয়ম অনুযায়ী আপনার কাছে 512 এমবি রয়েছে, তবে অনুসন্ধানের টেবিল ব্যবহার করে একটি তাত্ত্বিক বাস্তবায়ন ও (1) এ কাজটি সম্পন্ন করতে পারে।
স্কট ডুডলি

1

আপনি যদি কোনও ভূ-অবস্থানের ব্ল্যাকলিস্ট / শ্বেত তালিকাটি বজায় না রেখে যে কোনও জায়গা থেকে সংযোগের ক্ষমতা ধরে রাখতে চান, তবে আপনি পোর্ট-নকিং বাস্তবায়ন করতে পারেন । এটি আপনাকে এখনও কোনও ঠিকানা থেকে সংযোগ করার অনুমতি দেওয়ার সময় সর্বাধিক স্বয়ংক্রিয় প্রচেষ্টা বন্ধ করবে।

দ্রষ্টব্য: খোলার জন্য পোর্ট সংলগ্ন নকটিকে পোর্টটি রাখবেন না, অন্যথায় একটি ক্রমবর্ধমান পোর্ট স্ক্যান আপনার নিয়মকে সক্রিয় করবে।


0

আপনার স্ট্যাকের মধ্যে বিজিপি-সক্ষম রাউটার রয়েছে এমন দুটি সুযোগ রয়েছে এবং আপনি যে কাজ করছেন তা কী করছে / কারও সাথে কাজ করে যে জানে যে তারা কী করছে, বা করছে সে সম্পর্কে কিছু ধরণের ধারণা রয়েছে সম্ভবত কোনও ডিডিওএস প্রতিরোধ সরবরাহকারী এর বাস্তবায়নে সহায়তা করার পক্ষে যথেষ্ট শীতল, ভৌগলিক অঞ্চলে ট্র্যাফিক সীমাবদ্ধ করার জন্য তুলনামূলকভাবে সতেজ পদ্ধতি রয়েছে যা নির্বাচিত ব্ল্যাকহোলিং বলে যা আমি মনে করি এটি দেখার পক্ষে উপযুক্ত।

https://ripe68.ripe.net/presentations/176-RIPE68_JSnijders_DDoS_Damage_Control.pdf

http://mailman.nanog.org/pipermail/nanog/2014-February/064381.html

http://www.internetsociety.org/deploy360/blog/2014/07/video-selective-blackholing-at-ripe-68/

যেহেতু এই পদ্ধতিটি রুটগুলির হেরফেরে কাজ করে, এটি কোনও সার্ভার লোডের সমস্যাটিকে ছাড়িয়ে যায়।

আমাদের সাইট ব্যবহার করে, আপনি স্বীকার করেছেন যে আপনি আমাদের কুকি নীতি এবং গোপনীয়তা নীতিটি পড়েছেন এবং বুঝতে পেরেছেন ।
Licensed under cc by-sa 3.0 with attribution required.