[HEKTO]

Добрый день уважаемые господа. Есть вот такой сервер, МС-32. Кто и что посоветует по защите? Стоит игровой сервер на одной виртуалке и веб-сервер на другой.

[dmsamoilov]

Если нужны хорошие, но недорогие хостинги с анти-DDoS защитой, то можно посмотреть эстонские, они гораздо дешевле, а в функционале ничем не уступают:
https://beehosting.pro/et/

[Levasc]

Более подробную информацию о том, против каких атак защищает - см. табличку здесь:
http://www.ovh.com/fr/anti-ddos/principe-anti-ddos.xml

[InA_OvH]

Нашёл почти все ответы на вопросы кроме одного. Я так понял, что опция Anti-DDoS PRO ещё не доступна в которой защита активна перманентно. И защита подключается только во время атаки?

Здравствуйте,

Средства по защите Anti-DDoS установлены по умолчанию и активируются автоматически в случае выявления атаки.

Anti-DDoS PRO (перманентная защита + возможность самостоятельно конфигурировать firewall network в системе Anti-DDoS) будет действовать, если для сервера дополнительно закажете опцию PRO USE.

[MrTesla]

Нашёл почти все ответы на вопросы кроме одного. Я так понял, что опция Anti-DDoS PRO ещё не доступна в которой защита активна перманентно. И защита подключается только во время атаки?

[Levasc]

Пока кажется есть только https://api.ovh.com/console/
Если поступит другая информация сообщим здесь

[chaturanga]

Там справа наверху вы вошли через login?

Я имею ввиду реальную консоль. А не браузер. Какой смысл в api если им нельзя пользоваться вне браузера.

[Levasc]

Там справа наверху вы вошли через login?

[chaturanga]

�*азрешение на использование api каким либо образом надо активировать?
При попытке выполнить запрос из консоли получаю
{"message":"You must login first"}

Не парсить же страницу перед запросом и вырезать token?

[Levasc]

Сейчас все пока что только по API:
https://api.ovh.com/console/ (раздел /ip)

[Arturas-M]

Включен проф, но таких функций не наблюдаю

Теоретически всё должно быть доступно через Managerv6. Но это всё ещё бета версия, и может не работать, а также возможно появится доступ после того, когда согласитесь с новыми правилами и оплатите счёт, в котором уже включенна ддос защита. хотя не удивлюсь, если и после этого доступа не будет....

[chaturanga]

Мы внедрили 3 эксклюзивные инновации, которые внесли в опцию профессионального использования:

- постоянная защита, вместо автоматической, т.е. защиту можно активировать 24/7, вместо того, чтобы позволить ovh выявить атаки, активировать средства по защите и их выключить по окончании атаки.

- firewall network, позволяющий авторизировать все порты, на которых действует услуга, а все остальное заблокировать.

- доступ к архивам тафика данных, который прошел через vac, 7 дней, а также возможность получать логи для анализа, какие данные были заблокированы, а какие приняты.

Включен проф, но таких функций не наблюдаю

[chaturanga]

я же вам дал ссылку на api, там это можно включить принудительно но смысла опять же таки нету, дело в том что оно иногда дропает легитимный трафик и у пользователей бывают проблемы.

Сориентируйте как. У себя в api не обнаружил такой возможности.

[Levasc]

Сообщение от Octave, CEO ovh.com:

2-3 месяца тому назад мы сообщили о работах по установке средств для защиты Anti-DDoS:
http://forum.ovh.com/showthread.php?t=89081

С того времени мы устанавливаем данные средства, с целью предложить услугу по умолчанию, вне зависимости от продолжительности, размера и типа атаки. Мы установили 3 инфраструктуры, которые назвали VAC (от англ. Vacuum), это инфраструктуры мощностью в 480 Gbps/480 Mpps, дублируемые в backbone, где более 2 Tbps избыточной пропускной способности позволяют управлять получаемыми атаками.

Это много, но средства по защите Anti-DDoS не нуждаются в маркетинге. Либо защита действует и выдерживает атаку, либо не действует вообще. Наша цель – защитить ваши серверы, не принося вреда ни нашему backbone, ни другим клиентам. Нам нужно было создать такую защиту, которая смогла бы предотвратить любую атаку. Словом, с самого начала надо все видеть в крупном масштабе. Сегодня можем предложить самую большую инфраструктуру по защите от атак, которую мы уже публично представили, скорее всего, потому что мы единственные на рынке практикуем прозрачность, даже если речь идет о таких критичных вещах как DDoS атаки.

Мы поставили себе вызов создать инфраструктуру по защите от атак, способную противостоять атакам в 0.5 Tbps, за удивительно низкую цену: +1 EUR/мес./услуга.

Мы еще раз пересмотрели технические решения, чтобы снова смогли предложить инновации, сделать все по-другому, дешевле и быстрее.

Мы полагаем, что средства Anti-DDoS должны предоставляться совместно с услугой, защищать всех клиентов, без исключения и вне зависимости от поставляемых услуг. Мы не были намерены предлагать платных опций для активирования услуги Anti-DDoS, поскольку за 2 года число атак значительно возрасло, и мы уже не можем утверждать, что не хотим быть защищенными.

2 месяца тому назад мы объявили о решении применять цены за услугу Anti-DDoS для всех клиентов и снизить увеличенные цены для лояльных и новых клиентов. Мы рады, что смогли осуществить данное обязательство.

С сегодняшнего дня услуга Anti-DDoS переходит на версию STABLE, цены Anti-DDoS интегрированы в цены следующих услуг:
VPS
===
- VPS: +0.5EUR/мес.

Выделенные серверы
===============
- KS: +1.0EUR/мес.
- SP: +1.0EUR/мес.
- FS: +1.0EUR/мес.
- EG: +2.0EUR/мес.
- MG: +2.0EUR/мес.
- mHG: +3.0EUR/мес.
- HG: +3.0EUR/мес.

Dedicated Cloud
===
- host S +2.0EUR/мес.
- host S++ +2.0EUR/мес.
- host M +2.0EUR/мес.
- host L +2.0EUR/мес.
- host L+ +2.0EUR/мес.
- host L++ +2.0EUR/мес.
- host L2 +3.0EUR/мес.
- host L2+ +3.0EUR/мес.
- host XL +3.0EUR/мес.
- host XL+ +3.0EUR/мес.


Средства Anti-DDoS действуют для всех услуг, с целью защитить от всех атак, и без ограничений.

Если сервер проплачиваете на год, сервер будет стоить столько, сколько бы он стоил до увеличения цены.

Мы внедрили 3 эксклюзивные инновации, которые внесли в опцию профессионального использования:

- постоянная защита, вместо автоматической, т.е. защиту можно активировать 24/7, вместо того, чтобы позволить OVH выявить атаки, активировать средства по защите и их выключить по окончании атаки.

- firewall network, позволяющий авторизировать все порты, на которых действует услуга, а все остальное заблокировать.

- доступ к архивам трафика данных, который прошел через VAC, 7 дней, а также возможность получать логи для анализа, какие данные были заблокированы, а какие приняты.

Как мы уже объявили, для серверов EG и MG, увеличили цену опции профессионального использования с 15 EUR/мес. до 30 EUR / мес. Цена опции PRO USE для SP и HG серверов не изменилась.

Для услуг VPS, KS и pCC опции PRO USE не требуется, но через некоторое время предложим опцию "Anti-DDoS PRO".

Говоря о SLA, мы добавили обязательство о терминах выявления атаки и активирования автоматических средств по защите (менее чем через 90 секунд).

Более подробная информация об Anti-DDoS:
http://www.ovh.com/fr/anti-ddos/

С наилучшеми пожеланиями,
Octave

[rootden]

а возможно включение vac в отношение арендуемого мною сервера/серверов по заявке? например я знаю что есть вероятность атаки (99-100%) - пишу письмо - защиту принудительно активируют.

я же вам дал ссылку на api, там это можно включить принудительно но смысла опять же таки нету, дело в том что оно иногда дропает легитимный трафик и у пользователей бывают проблемы.

[rootden]

rootden, согласен. Спасибо за ACL, а то уже месяц добиваюсь инфы этой от саппорта французкого =)

3. Защищает - то если вам не требуется udp, проще его выключить и забыть по L7.

что значит защищает,

я все верно написал:

1. layer7 защита не фильтрует.
2. трафик лимитирует - следовательно udp полностью резать смысла нету.

[Vaalje]

а возможно включение vac в отношение арендуемого мною сервера/серверов по заявке? например я знаю что есть вероятность атаки (99-100%) - пишу письмо - защиту принудительно активируют.

[Levasc]

а как региться там для получения новостей то?

Надо написать на адрес ddos-subscribe@ml.ovh.net (сообщение может быть любое или пустое), тогда получите на французском сообщение с адресом эл. почты типа ddos-sc.137752.ahjhhlhlbehli....@ml.ovh.net) для подтверждения. Пишите на него (любое/пустое сообщение) и вас сразу регистрируют и начинаете получать сообщения и можете писать.

[Vaalje]

/!\ ps. если желаете узнать больше регистрируйтесь на ddos@ml.ovh.net (ddos-subscribe@ml.ovh.net). там пишут об этой услуге и нередко сообщают о ddos атаках.

а как региться там для получения новостей то?

[Vaalje]

rootden, согласен. Спасибо за ACL, а то уже месяц добиваюсь инфы этой от саппорта французкого =)

3. Защищает - то если вам не требуется udp, проще его выключить и забыть по L7.

[rootden]

Этого достаточно. Следовательно там объём канала очень большой, 300+ к примеру, не знаю какой объём суммарный у ОВХ. Итого отключение удп на ASA полностью предотвращает возможность udp флуда в рамках к примеру этих 300 гбит, Таким образом частный клиент которому не нужен udp, может не беспокоиться за весь Layer 7 =)

нужно понимать то что при DDoS много флуда по протоколу udp попросту не дойдет до вашего сервера или до ASA, это связано с тем что защита лимитрирует трафик и дропает все хорошие и плохие пакеты:

1 что бы сервер совсем не ушел в себя из за перегруза линка.
2 что бы не создавтать проблем соседям в VLAN

скажу более ASA особенно дешевая тупее чем сам сервер, она может умереть быстрее сервера, ее разумно использовтаь под другие задачи, впн/фаервол и т.д а не защита.

Но было бы лучше если бы ваше специ по защите, разработали опцию (вернее просто выполняли бы её), закрытия udp трафика на ваших фаерволах на входе в ДЦ. Тогда бы удп флуд с аплинков влетал к вам "вход" и глох бы, вы бы не страдали, учитывая что суммарный объём аплинков у вас вероятно исчисляется в терабайтах.

Кстати интересно, какой суммарный объём:
- канала до ASA в RBX
- канала с учётом всех аплинков на вход в ДЦ.

1. а за трафик то все равно нужно платить он же пришел)) - лирика.

внешние линки не терабайты, а

http://www.ovh.com/fr/anti-ddos/reseau-excedentaire.xml

Europe
RBX 280 Gbps
SBG 120 Gbps
GRA 80 Gbps

если вы думаете то что столько полосы будет прямо перед ASA то вы ошибаетесь.

2. udp если нужно порезать весь то не какая ASA не нужна, у вас есть ACL (99 правил)
https://api.ovh.com/console/

3. зы, защита не фильтрует layer7

[Vaalje]

Да, но там пропускная способность большая.

Этого достаточно. Следовательно там объём канала очень большой, 300+ к примеру, не знаю какой объём суммарный у ОВХ. Итого отключение удп на ASA полностью предотвращает возможность udp флуда в рамках к примеру этих 300 гбит, Таким образом частный клиент которому не нужен udp, может не беспокоиться за весь Layer 7 =)
Но было бы лучше если бы ваше специ по защите, разработали опцию (вернее просто выполняли бы её), закрытия udp трафика на ваших фаерволах на входе в ДЦ. Тогда бы удп флуд с аплинков влетал к вам "вход" и глох бы, вы бы не страдали, учитывая что суммарный объём аплинков у вас вероятно исчисляется в терабайтах.

Кстати интересно, какой суммарный объём:
- канала до ASA в RBX
- канала с учётом всех аплинков на вход в ДЦ.

[Levasc]

Следовательно дополнение к 3 вопросу, для администрации OVH:
3.1) Канал до Cisco ASA обуславливается пропускной способностью дц ovh ?

Да, но там пропускная способность большая. Ограничения, какая пропускная способность для сервера (200/500/750/1500 Мбит/с), скорее всего стоит на роутере, к которому подключен сервер. На самих роутерах насыщенность uplink канала редко бывает. Но если ддос атака, то если не принять меры - вероятно могут терпеть и другие серверы в той же стойке. В случае ДДОС, до появления услуги antiddos весь трафик на атакуемый сервер направляли в nullroute еще где то на входе в сеть (ДЦ), и атаки на сервер не чувствовались для серверов в той же стойке), но сервер таким образом отключался от сети (был полностью недоступен, хотя работал и дальше). Нововведения с antiddos то, что сервер остается доступен, фильтруется ддос атака, а обычный трафик доходит до сервера.

[Levasc]

3. iptables закрыть можно - но если полетит dns udp атака, то это не поможет.
Получается что поможет только ASA - на ней закрыли udp, и отныне "плевать" на мощьность udp флуда и т.п. Верно?

Самому этого испытывать не приходилось. Наши Антидос узлы скорее всего где то еще до входа в наши ДЦ. Т.е. для RBX они где то до разветвления на RBX1, RBX2, RBX3, RBX4.
Но если атака доходит до роутера к которому подключен сервер, но наверное будет большая нагрузка на сеть внутри ДЦ. Если большая атака на сервер, наверное не очень ASA поможет. Но если не большая то наверное польза будет (также будет меньше нагрузка на сервер).
Но лучше ответ может дать те которые сами с этим сталкивались.

Ради интереса, здесь наша сеть http://weathermap.ovh.net/
Особенно большие атаки раньше были видны, каналы нагружались до желтого цвета. Сейчас так уже не бывает. Кажется одна стрелка - 10 Гбит/c

[Vaalje]

Мне кажется, что если "убьется" канал до самой Cisco ASA, то не поможет она....

Следовательно дополнение к 3 вопросу, для администрации OVH:
3.1) Канал до Cisco ASA обуславливается пропускной способностью дц ovh ?

[IlyaKronos]

3. iptables закрыть можно - но если полетит dns udp атака, то это не поможет.
Получается что поможет только ASA - на ней закрыли udp, и отныне "плевать" на мощьность udp флуда и т.п. Верно?

Мне кажется, что если "убьется" канал до самой Cisco ASA, то не поможет она....

[Vaalje]

3. С Cisco ASA можно отключить входящий UDP. Можно и с iptables, пример, можно пробовать, как указаили здесь:
http://stackoverflow.com/questions/1...using-iptables

3. iptables закрыть можно - но если полетит dns udp атака, то это не поможет.
Получается что поможет только ASA - на ней закрыли udp, и отныне "плевать" на мощьность udp флуда и т.п. Верно?

[Levasc]

3) Аппаратный - вы имеете ввиду если я закажу cisco firewall ASA xxxx, то я смогу отключить UDP трафик?
4) При PRO USE, как я понял выдаётся доступ до Cisco ASR которая и защищает от DDoS, следовательно на ней так же можно будет отключить UDP трафик, через личный кабинет?

3. С Cisco ASA можно отключить входящий UDP. Можно и с iptables, пример, можно пробовать, как указаили здесь:
http://stackoverflow.com/questions/1...using-iptables
4. Защиту AntiDDos с опцией Pro мы еще не испытывали. По возможности уточним.

[Vaalje]

3) нет такой возможности. Ovh ограничивает трафик udp. но возможности управлять клиентам нет. можно только с программным/аппаратным файерволом.

3) Аппаратный - вы имеете ввиду если я закажу cisco firewall ASA xxxx, то я смогу отключить UDP трафик?
4) При PRO USE, как я понял выдаётся доступ до Cisco ASR которая и защищает от DDoS, следовательно на ней так же можно будет отключить UDP трафик, через личный кабинет?

[Levasc]

вопрос такой, если я сейчас арендую сервер, после первого сентября защита отключится? если да, то можно ли будет её как-то подключить?

можно ли уже сейчас заказать сервер с antiddos pro?

еще точных данных у нас нет, но возможно, скорее всего защита будет включена в следующий счет оплаты. так как защита будет включена всем клиентам по умолчанию.

[Levasc]

1) vps тоже под защитой, понял. а как активируется защита? получается что сначала при атаке доступ к серверу закроется из-за ддоса, а после через какое-то время если ддос продолжается, то защита активируется?
2) vps которые были арендованы 3-4+ месяца назад и по сей день - так же под защитой?
3) возможно ли отключение udp трафика на арендумый сервер (к примеру если он не требуется).

1) да (хотя все технические данные еще нам не известны)
2) они тоже под защитой
3) нет такой возможности. Ovh ограничивает трафик udp. но возможности управлять клиентам нет. можно только с программным/аппаратным файерволом.

[IlyaKronos]

Vaalje,
1) Да. Примерно 2 минуты, на опыте проверено.

Вопрос такой, если я сейчас арендую сервер, после первого сентября защита отключится? Если да, то можно ли будет её как-то подключить?

Можно ли уже сейчас заказать сервер с AntiDDoS Pro?

[Vaalje]

Услуга по умолчанию включена для всех клиентов и услуг (включая серверы, VPS, PCC..). Подробнее об услугах для которых действует и цены (когда выйдет из бета) здесь:
http://www.ovh.com/fr/anti-ddos/

Обычно по traceroute, пока нет атаки - ничего не видно. Маршрут переключается на узлы VAC только когда есть атака. Тогда в mtr присутствуют например узлы:
8.vac2-0-a9.fr.eu.vaccum 9.1% 11 49.9 55.7 49.3 96.6 14.7
9. vac2-1-n7.fr.eu.firewall 9.1% 11 62.6 66.7 62.2 91.8 9.4
10. vac2-2-n7.fr.eu 60.0% 11 105.4 73.3 62.5 105.4 21.4
11. vac2-3-n7.fr.eu.arbor 9.1% 11 62.9 67.5 62.2 102.2 12.5
12. ???
(далее видимо фильтруется ICMP)

1) VPS тоже под защитой, понял. А как активируется защита? Получается что сначала при атаке доступ к серверу закроется из-за ддоса, а после через какое-то время если ддос продолжается, то защита активируется?
2) VPS которые были арендованы 3-4+ месяца назад и по сей день - так же под защитой?
3) Возможно ли отключение udp трафика на арендумый сервер (к примеру если он не требуется).

[wegas9393]

А я то всё думал почему в tracert не показывает, теперь ясно, спасибо

[Levasc]

Основная информация доступна следующая:
http://www.ovh.com/fr/anti-ddos/principe-anti-ddos.xml
http://forum.ovh.ie/showthread.php?t=1243

Какие мощности? Услуга новая, еще испытывается. Какие точно мощности возможно можно только догадываться. На форуме указано:

The capacity of our VAC is 3 x 160Gbps or 480Gbps/480Mpps.
Protections are not limited in size, duration, nor type of attack.
The goal is supporting you at difficult times...

Мощности по типу атаки не указываются (думаем еще сложно точнее что то указать).

Услуга по умолчанию включена для всех клиентов и услуг (включая серверы, VPS, PCC..). Подробнее об услугах для которых действует и цены (когда выйдет из бета) здесь:
http://www.ovh.com/fr/anti-ddos/

Обычно по traceroute, пока нет атаки - ничего не видно. Маршрут переключается на узлы VAC только когда есть атака. Тогда в mtr присутствуют например узлы:
8.vac2-0-a9.fr.eu.vaccum 9.1% 11 49.9 55.7 49.3 96.6 14.7
9. vac2-1-n7.fr.eu.firewall 9.1% 11 62.6 66.7 62.2 91.8 9.4
10. vac2-2-n7.fr.eu 60.0% 11 105.4 73.3 62.5 105.4 21.4
11. vac2-3-n7.fr.eu.arbor 9.1% 11 62.9 67.5 62.2 102.2 12.5
12. ???
(далее видимо фильтруется ICMP)

Еще примеры можете посмотреть здесь:
http://forum.ovh.ie/showthread.php?t=1244

/!\ ps. если желаете узнать больше регистрируйтесь на ddos@ml.ovh.net (ddos-subscribe@ml.ovh.net). Там пишут об этой услуге и нередко сообщают о ddos атаках.

[Arturas-M]

удалил.... не туда попал....

[Vaalje]

1) Предлагаю руководству поднять FAQ тему по услуге защиты от DDoS
2) Интересует следующее:
- Каковы пределы защиты от dns amplification (upd flood посредством dns серверов)
- Каковы пределы защиты от synflood
- Возможно ли отключение udp трафика на арендумый сервер (к примеру если он не требуется).

[KCAHDEP]

благодарим за примечание, мы спросим и сообщим в ближайшее время, если получим ответ.

спасибо, буду ждать с нетерпением.

[InA_OvH]

К сожалению в списке фильтруемых атак нет ctm флуда...

Благодарим за примечание, мы спросим и сообщим в ближайшее время, если получим ответ.

В договоре указано, что средста защиты anti-DDoS не включают с себя защиты от таких атак как SQL injection, Bruteforce, использования дефектов в системе безопасности и т.д.

[KCAHDEP]

К сожалению в списке фильтруемых атак нет ctm флуда...

[InA_OvH]

Здравствуйте, подскажите пожалуйста осуществляется ли фильтрация данного типа атаки? http://kcahdep.ru/ctmflood.pdf

Здравствуйте, типы фильтрируемых атак указаны на веб-сайте http://www.ovh.com/fr/anti-ddos/principe-anti-ddos.xml

[KCAHDEP]

Здравствуйте, подскажите пожалуйста осуществляется ли фильтрация данного типа атаки? http://kcahdep.ru/ctmflood.pdf

[wegas9393]

Спасибо за ответ
То есть как я понял, при следующей оплате услуг к ней будет добавлена цена зашиты

[InA_OvH]

Здравствуйте,

Сейчас услуга Anti-DDoS в бета-тестировании, с 1-ого сентября ее не отключат, а включат в цену услуг, для которых она будет предоставляться:

Для VPS: + 0.50 EUR / мес.
Для серверов KS, SP/FS: + 1.00 EUR / мес.
Для серверов EG/MG: + 2.00 EUR / мес.
Для серверов mHG/HG: + 1.00 EUR / мес.
Для услуги PCI: + 1.00 EUR / мес.

Более подробная информация на веб-сайте http://www.ovh.com/fr/anti-ddos/ (на франц.яз.)

[wegas9393]

Здравствуйте, меня интересует новая фишка ovh Protection Anti-DDoS
Как я понял при заказе сервера или vps до 1 сентября зашита,потключаеться сразу и бесплатно

Так вот меня интересует следующие:
После 1 сентября зашиту отключат?
И сколько она будет стоить?

Так же, желатильно что бы расписали тут по подоброней "что как когда сколько и тд" про зашиту, так как в наше время ддосят всё