[DDoS] - Ajuda UDP

[Giuseppe]

Estou recebendo ataque DDoS no meu gameserver

 

Meu VPS é Brasileiro, quando vou monitorar os ataques me deparo com isso = http://prntscr.com/4i2lmi

São varios IP's, não sei como parar, ja tenho regra para dar drop em pacotes a cima de 500

Tenho 50mbps de internet

 

O que devo fazer, qualquer dica é bem vinda.

PS = A maioria dos IPs vem da China

 

 

Obrigado.

[Fernando Rafs]

  Em 30/08/2014 em 20:02, Giuseppe disse:

Estou recebendo ataque DDoS no meu gameserver

 

Meu VPS é Brasileiro, quando vou monitorar os ataques me deparo com isso = http://prntscr.com/4i2lmi

São varios IP's, não sei como parar, ja tenho regra para dar drop em pacotes a cima de 500

Tenho 50mbps de internet

 

O que devo fazer, qualquer dica é bem vinda.

PS = A maioria dos IPs vem da China

 

 

Obrigado.

 

Está utilizando algum Firewall via Software?

[Giuseppe]

Primeiramente obrigado pela resposta, não tenho nenhum software para proteger o servidor, só iptables mesmo

Uso Linux ubuntu

[rubensk]

  Em 30/08/2014 em 21:21, Giuseppe disse:

Primeiramente obrigado pela resposta, não tenho nenhum software para proteger o servidor, só iptables mesmo

Uso Linux ubuntu

 

O iptables é um software firewall... 

 

Tente algo como

iptables -t raw -I PREROUTING -p udp --sport 19 -j DROP 

 

(ou se não tiver raw:

iptables -I PREROUTING -p udp --sport 19 -j DROP )

 

 

 

Isso não vai impedir os pacotes de chegarem até seu servidor, mas vai descartá-los da maneira mais rápida possível. Se conseguir derrubar na raw não vão saturar o número de conexões. 

[Giuseppe]

Olá amigo,

 

Ja tem esta regra, mais o servidor quando recebe ataque, não fica offline, mais fica travado pela grande quantidade de pacotes que recebo.

Eu já tentei esta regra:

 

iptables -A INPUT -p udp -m length --length 500:65535 -j DROP

iptables -A FORWARD -p udp -m length --length 500:65535 -j DROP

 

Mais não adianta nada, meu server continua a receber ataques e os players travado com ping 1k

 

O que posso fazer?

Obrigado.

[Visitante]

Como é óbvio,o iptables não vai poder te ajudar. Você tem duas opções:

 

1) Mitigar o ataque a nível de rede (acesso da operadora/datacenter)

2) Fazer upgrade para um servidor mais potente, que possa lidar com a qtdade de PPS.

[rubensk]

  Em 31/08/2014 em 03:29, Giuseppe disse:

 

Olá amigo,

 

Ja tem esta regra, mais o servidor quando recebe ataque, não fica offline, mais fica travado pela grande quantidade de pacotes que recebo.

Eu já tentei esta regra:

 

iptables -A INPUT -p udp -m length --length 500:65535 -j DROP

iptables -A FORWARD -p udp -m length --length 500:65535 -j DROP

 

Mais não adianta nada, meu server continua a receber ataques e os players travado com ping 1k

 

O que posso fazer?

Obrigado.

 

 

Tem certeza que são pps e não conexões que estão saturando seu servidor ? Pq se forem conexões lotando o conntrack, tirar na raw ajuda como mencionei. 

Regra por tamanho não vai ajudar, regra por porta é mais eficiente e o ataque que você mostrou está concentrado em refletores de chargen. 

 

 

[Giuseppe]

Como assim ataque/refletores chargen? por que existe um maluco que aluga 100 vps na china pra me atacar? são varios ips, consequentemente, varias maquinas certo? por que uma pessoa perde tempo com isso? essa regra raw eu ja tenho ela a um tempo, eu ja falei com a datacenter mais não me dão atenção.

[rubensk]

  Em 31/08/2014 em 19:36, Giuseppe disse:

Como assim ataque/refletores chargen? por que existe um maluco que aluga 100 vps na china pra me atacar? são varios ips, consequentemente, varias maquinas certo? por que uma pessoa perde tempo com isso? essa regra raw eu ja tenho ela a um tempo, eu ja falei com a datacenter mais não me dão atenção.

 

O maluco não aluga 100 VPS, é um ataque por reflexão. Ele sabe endereços de 100 dispositivos (muitas vezes roteadores domésticos) que são vulneráveis a ataques de chargen (serviço UDP que fica gerando caracteres) e tem acesso a um servidor onde ele pode fazer IP spoofing. Ele manda pacotes como se fosse você para essas 100 máquinas, elas mandam a resposta para você. 

 

Raw não é regra, é uma das tabelas do iptables; se você listar todas as regras de iptables que você usa dá para dizer se tudo que você poderia fazer já está coberto ou não. Me parece que você está concluindo isso rápido demais; talvez até não tenha mais o que fazer, mas ainda vale confirmar isso. 

[Giuseppe]

O iptables que vc me deu eu tenho um parecido

iptables -A INPUT -i eth0 -p udp --sport 123 -j DROP
iptables -t mangle -A PREROUTING  -p udp --sport 19 -j DROP

Esses dois tem a msm função do qual vc me deu?

 

@edit: é mais ou menos assim, correto? http://prntscr.com/4ipnnp