Comment - FBXL Lotide

Comment on Another massive distributed HTTP flood is currently hitting git.friendi.ca a

utzer@f.utzer.de@f.utzer.de ⁨15⁩ ⁨hours⁩ ago

@tom_s aber sind das nicht alles echt alte UA, also wenn ich die blocke was kann das für Nebeneffekte haben? Firefox 119 oder 120 ist doch echt alt.

Aber ich schaue morgen nochmal ob ich es weiter optimieren kann.

Sort:hotnew top

tom_s@friendica.ambag.es@friendica.ambag.es ⁨15⁩ ⁨hours⁩ ago
@utzer @pasjrwoctx Der Flood rotiert UAs bewusst gleichverteilt durch 160 Identitäten – das ist ein Tool, das darauf gebaut ist, dass man es am UA erkennt. Hier wirst du also mit UA-Blocking nur die nächste der 160 Identitäten sehen, nicht weniger Traffic.
Was helfen kann ist TLS-Fingerprint und die Challenge-Ökonomie (Anubis-PoW-Difficulty).
original
- utzer@f.utzer.de@f.utzer.de ⁨15⁩ ⁨hours⁩ ago
  @tom_s Anubis hält dem Ansturm gar nicht Stand. Das Setup ist so, dass der Reverse Proxy das aufiltern muss, Anubis kommt erst danach, dann der Dienst.
  Ich schau mal es dann neue UA gibt.
  original
  - tom_s@friendica.ambag.es@friendica.ambag.es ⁨15⁩ ⁨hours⁩ ago
    @utzer Firewall (vor dem Proxy) Per-IP-Connection-Limits mit hashlimit in nftables, drosselt den Connection-Sturm auf Anubis.
    Ich kenne Deinen Aufbau ja nicht, mag nicht so gerne raten...
    original
  - tom_s@friendica.ambag.es@friendica.ambag.es ⁨15⁩ ⁨hours⁩ ago
    @utzer Hat der Flood ein leeres Accept-Language? Der schnellste Test: einmal eine Stichprobe aus euren Anubis-Logs ziehen und schauen, ob bei den Top-UAs auch Accept-Language: leer ist. Wenn ja, reicht beim nginx
    if ($http_accept_language = "") { return 444; }
    444 = Verbindung sofort verwerfen, keine Antwort
    Das musst du aus dem Log lesen, nicht raten oder probieren!
    original