Comment on Another massive distributed HTTP flood is currently hitting git.friendi.ca a
tom_s@friendica.ambag.es@friendica.ambag.es 14 hours agoDas hat einige Begleiterscheinungen, die man nicht möchte.
Prüf aus dem Log das tatsächliche Header-Profil des Floods (Accept-Language leer/nicht leer, Anzahl eindeutiger Sec-CH-UA/Accept-Kombinationen). Wenn da ein konstanter Unterschied zu echten Browsern ist, kann ich dir eine gezielte Regel bauen, die genau diesen Header-Set blockt statt der UA-Version. Das ist der einzige UA-nahe Filter, der hier sauber zwischen Flood und echten Nutzern trennt.
@tom_s aber sind das nicht alles echt alte UA, also wenn ich die blocke was kann das für Nebeneffekte haben? Firefox 119 oder 120 ist doch echt alt.
Aber ich schaue morgen nochmal ob ich es weiter optimieren kann.
@pasjrwoctx
tom_s@friendica.ambag.es@friendica.ambag.es 14 hours ago
@utzer @pasjrwoctx Der Flood rotiert UAs bewusst gleichverteilt durch 160 Identitäten – das ist ein Tool, das darauf gebaut ist, dass man es am UA erkennt. Hier wirst du also mit UA-Blocking nur die nächste der 160 Identitäten sehen, nicht weniger Traffic.
Was helfen kann ist TLS-Fingerprint und die Challenge-Ökonomie (Anubis-PoW-Difficulty).
@tom_s Anubis hält dem Ansturm gar nicht Stand. Das Setup ist so, dass der Reverse Proxy das aufiltern muss, Anubis kommt erst danach, dann der Dienst.
Ich schau mal es dann neue UA gibt.
tom_s@friendica.ambag.es@friendica.ambag.es 13 hours ago
Ich kenne Deinen Aufbau ja nicht, mag nicht so gerne raten...
tom_s@friendica.ambag.es@friendica.ambag.es 14 hours ago
if ($http_accept_language = "") { return 444; }444 = Verbindung sofort verwerfen, keine Antwort
Das musst du aus dem Log lesen, nicht raten oder probieren!