iptablesがtable full状態になるとパケットがドロップされる
Apacheのaccess_logが記録されない障害 LVS配下のWEBサーバーでiptablesを動かしていたのですが、秒間アクセス2000くらいからApacheのアクセスログが記録されないという障害に悩まされていました。LVS・Apacheともに正常に稼働していて、access_logも全部記録されないわけではなく一定の確率で記録されていませんでした。error_logにも原因と思われる兆候なし。いわゆるログロストが断続的に続いている状態で、Apacheのパフォーマンスチューニングやカーネルパラメータのチューニングも行ったのですが、原因の方が掴みきれずにいました。 /var/log/messagesに答えがありました Apacheのログを見ていても原因が分からないならば、syslogの方はどうなんだろう？ということで、/var/log/messagesを見てみました。そうしたら、以下の
iptablesの設定ファイルをシェルスクリプトを利用して動的に作成
Ping of Death攻撃と対策 Ping of Death（ピング オブ デス〈PoD〉）攻撃とは、サイズの大きなPingを受け取るとサーバが停止するというバグを利用した攻撃です。Pingとはサーバの動作を確認する際に利用されます。 最新のディストリビューションでは対策が取られており、実害が出ることは稀ですが、攻撃する意図を持ったIPを特定するという意味でログファイルへ記録します。 今回は設定以上のサイズを持つPingを拒否することで対策を取ります。通常pingのサイズはWindowsであれば32バイトで、linuxであれば56バイトです。 実際にはICMPのヘッダ（8バイト）やTCPのヘッダー（20バイト）が付くので、84バイトになります。そこで85バイト以上のPingを破棄します。 この辺から複雑になってきますが、1つ1つの要素に分解すると簡単です。 # Ping攻撃対策 ipt
iptables/SYN Flood対策をしたい - Void of Knowledge
概要 † SYN Flood攻撃への対策をとります。 SYN Flood攻撃は、TCP接続開始要求であるSYNパケットを利用した、攻撃手法です。 SYNパケットを大量に送り付け、SYN/ACKパケットを無視することで、対象サーバに無駄なリソースを消費させ、レスポンスの低下や、最悪の場合はダウンを誘発します。 発信元IPアドレスは偽装されているので、攻撃者は大量のSYN/ACKパケットを無視する必要もありません。 ↑ 方法1 - 一定時間内に大量の要求が来た場合に破棄する † 1秒あたり10回以上もしくは、持ち点20点以上になると、ログを書いて破棄するルールです。 # ***SYNFLOOD攻撃対策用チェイン*** iptables -N drop_synflood iptables -A drop_synflood -m limit --limit 10/s --limit-burst 2
iptablesでできるDoS／DDoS対策
はじめに 今回はDoS／DDoS対策を紹介します。今回はiptablesを使った方法とともに、Linuxのカーネルパラメータを使った方法も紹介します。 関連リンク： →Linuxで作るファイアウォール［パケットフィルタリング設定編］ http://www.atmarkit.co.jp/flinux/rensai/security05/security05a.html →連載記事 「習うより慣れろ！ iptablesテンプレート集」 http://www.atmarkit.co.jp/flinux/index/indexfiles/iptablesindex.html →連載記事 「習うより慣れろ！ iptablesテンプレート集 改訂版」 http://www.atmarkit.co.jp/flinux/index/indexfiles/newiptablesindex.html DoS／
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
処理を実行中です
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
