Vlákno názorů k článku DDoS útok na servery Internet Info: pohled administrátora od Ondřej Surý - Psal jsem to Danovi do mailu, tak ještě...
-
Psal jsem to Danovi do mailu, tak ještě sem:
a) Obecně máme zkušenost, že kromě samotného jádra také záleží na výrobci, typu a ovladači síťové karty. Rozdíl mezi výkonem Broadcom[-] a Intel[+] karet je obrovský. V DNS benchmarcích, které děláme pro Knota už ani benchmarky na Broadcomech neděláme. Taky záleží na chipsetu konkrétní karty - např. kolik má front, rozdíl mezi desktop a server kartama, atp.
Slyšel jsem také dobré reference na Mellanox, ale neměl jsem možnost vyzkoušet.
b) Zase obecně bych před server ještě strčil Varnish, na backend pak nginx+php-fpm. Obojí je pak potřeba aspoň trochu potunit.
c) Na vypnutí syncookies ani nemyslete :). Se syncookies Vás pak spíš zahltí objemem dat, protože toho ten server ustojí opravdu dost.
d) Loadbalancing se dá dělat na více vrstvách než L7 - pokud nestíhá L7 balancer, tak přidat další a rozhazovat to na L3 (buď tupě 1:1 nebo to trochu ladit podle zátěže). Konkrétní řešení neznám, ale tuším, že to v iptables půjde udělat.
O.
-
Jako kvalitní L3 balancer se nám osvědčil LVS (linuxvirtualserver.org). Je přímo v jádře a konfiguruje se podobně jako iptables pomocí ipvsadm. Existuje k němu ještě daemon keepalived, který ho doplňuje o healthchecky a VRRP, ale ten má své mouchy. Samotné IPVS v jádře je ale velmi stabilní a výkonné.
Jinak často používáme konfiguraci, kde je nginx jak reverzní proxy tak loadbalancer a v něm lze určitě nakonfigurovat řadu pravidel, která by mohla definovaná spojení rovnou odmítat (např. dle lokální GeoIP databáze). Tím by se dalo dosáhnout lepší granularity než jen "NIX ano a tranzit ne". Neumím ale takhle od stolu říci, jestli by to v tomto konkrétním případě pomohlo nebo ne.
