Comment on Another massive distributed HTTP flood is currently hitting git.friendi.ca a

/etc/nginx/conf.d/uaold13.conf:

map "$ssl_protocol $http_user_agent" $uaold13 {
    default 0;
    "~^TLSv1\.3 .*Chrome/[0-6][0-9]\."   1;
    "~^TLSv1\.3 .*Chrome/[0-9]\."        1;
    "~^TLSv1\.3 .*Firefox/[0-5][0-9]\."  1;
    "~^TLSv1\.3 .*Edge/1[0-7]\."         1;
}

Im server-Block:

if ($uaold13) { return 444; }

doas nginx -t && doas /etc/init.d/nginx reload

• utzer@f.utzer.de@f.utzer.de ⁨1⁩ ⁨week⁩ ago

  @tom_s guck mal in den Ausgangspost, es waren 50000 Requests in 5 Minuten. Mit den geblocken UA geht es jetzt ja super.

  original

  • tom_s@friendica.ambag.es@friendica.ambag.es ⁨1⁩ ⁨week⁩ ago

    @utzer guter Punkt. Für nginx sind ca. 185/s zwar ok, aber dahinter kann das enger werden.

    Ok, würde vorschlagen, den uaold13 scharf stellen und zudem noch:

    bots:
      - name: generischer-crawler
        user_agent_regex: 'Mozilla/5.0 \(compatible; crawler\)'
        action: DENY
      - name: antike-ua
        user_agent_regex: 'Chrome/([0-6][0-9]|[0-9])\.'
        action: DENY

    Damit fällt schon mal Last ab.
    Nun gilt es den Zähler von gelösten Challenges im Auge zu behalten.

    Für das Beurteilen von Verbindungen, einfach mal nen Tag lang anschauen, was so passiert, z.B.
    

    nft add rule inet filter input ct state new tcp dport 443 
    counter

    Wäre ein Anfang.

    original

    • tom_s@friendica.ambag.es@friendica.ambag.es ⁨1⁩ ⁨week⁩ ago

      @utzer
      hab das zuvor ein wenig unglücklich ausgedrückt. ich meinte die input rule mal in ruhigen, normalen Zeiten laufen lassen. so 4x am Tag für jeweils ne Stunde. Aber vielleicht kennst Du die normale Auslastung ja selber schon.

      Je nachdem, was Deine Messung ergibt, könnte man sowas beispielsweise einbauen: Rate: 50/s und Burst: 150

      table inet floodfilter {
          chain input {
              type filter hook input priority filter; policy accept
      
              ct state established,related accept
      
              # Limit auf neue Verbindungen zu 443
              ct state new tcp dport 443 limit rate 50/second burst 150 accept
              ct state new tcp dport 443 drop
              
          }
      }

      Ist nur ne Idee, um den Traffic zu deckeln.

      original