Comment on Another massive distributed HTTP flood is currently hitting git.friendi.ca a

utzer@f.utzer.de@f.utzer.de ⁨1⁩ ⁨week⁩ ago

• tom_s@friendica.ambag.es@friendica.ambag.es ⁨1⁩ ⁨week⁩ ago

  @utzer guter Punkt. Für nginx sind ca. 185/s zwar ok, aber dahinter kann das enger werden.

  Ok, würde vorschlagen, den uaold13 scharf stellen und zudem noch:

  bots:
    - name: generischer-crawler
      user_agent_regex: 'Mozilla/5.0 \(compatible; crawler\)'
      action: DENY
    - name: antike-ua
      user_agent_regex: 'Chrome/([0-6][0-9]|[0-9])\.'
      action: DENY

  Damit fällt schon mal Last ab.
  Nun gilt es den Zähler von gelösten Challenges im Auge zu behalten.

  Für das Beurteilen von Verbindungen, einfach mal nen Tag lang anschauen, was so passiert, z.B.
  

  nft add rule inet filter input ct state new tcp dport 443 
  counter

  Wäre ein Anfang.

  original

  • tom_s@friendica.ambag.es@friendica.ambag.es ⁨1⁩ ⁨week⁩ ago

    @utzer
    hab das zuvor ein wenig unglücklich ausgedrückt. ich meinte die input rule mal in ruhigen, normalen Zeiten laufen lassen. so 4x am Tag für jeweils ne Stunde. Aber vielleicht kennst Du die normale Auslastung ja selber schon.

    Je nachdem, was Deine Messung ergibt, könnte man sowas beispielsweise einbauen: Rate: 50/s und Burst: 150

    table inet floodfilter {
        chain input {
            type filter hook input priority filter; policy accept
    
            ct state established,related accept
    
            # Limit auf neue Verbindungen zu 443
            ct state new tcp dport 443 limit rate 50/second burst 150 accept
            ct state new tcp dport 443 drop
            
        }
    }

    Ist nur ne Idee, um den Traffic zu deckeln.

    original