DC Хаблист

mariner писал(а): Но ведь ipset не есть фаерволл. Это лишь , считай, база данных с IP.

ну и лимитирование в iptables таки есть

Да извиняюсь ошибся спутал с nftables. Для БСД тоже неверно сказал, имел ввиду не ipfilter, а PF (packet filter). В голове уже всё перемешалось из-за обслуживания большого зоопарка систем. Ipset это чтото типа фрэймворка к iptables.

Лимитирование в iptables есть.

Я покопался в настройках своего аппаратного фаервола, и нашел очень интересную функцию: ограничение количества соединений с одного ip адреса и автоматического внесения в blacklist адресов не укладывающихся в ограничение. Все адреса откуда идет ddos сразу ушли в блокировку.
Конечно канал все равно забивается, но теперь пользователи могут зайти на хаб.

Поздравляю! Это как раз то самое решение.

Профессиональная защита от DDOS теперь бесплатно! http://www.ddosexpert.ru/ 

И да. Максимум от школоты они. При нормальной отаке весь твой трафик в /dev/null будет.

Если юзают стм можно средствами ип таблес защититься (мб уже выкладывали)