Что лучше помогает от DDoS-атак: hardware или облачные решения?

Все зависит от метода атаки и ее мощности.

но ведь iptables не весь мусор отфильтровать может

фильтрация на стороне абонента абсолютно бесполезна против атак на переполнение канала

логично, но грамотно настроенный iptables может многое =)

Если у тебя канал в интернет, скажем 20 мегабит, а на тебя обрушат ДДоС-атаку мощностью хотя бы в гигабит - любая защита на твоей стороне полностью бессмысленна, если этот трафик провайдер тебе доставит (а он доставит)
а рекордные зафиксированные атаки имели мощности, кажется, до 400Гбит - и потолок неуклонно растёт.

потолок уже не особо растет, так как позакрывали уже все amplification дырки, да и условия изначально не было, что канал 20М )

Anton Zheltyshev: ну это я просто для примера. Может ли грамотно настроенный iptable быть полноценной защитой крупному серваку с мощным трафиком?

смотря какой канал, какой сервер, мощность атаки и ее метод.
Ну и конечно же надо учитывать тот момент, что если ваш ресурс никому не интересен, то особо много вливать вам никто не будет, так как тратить силы на ваш ресурс экономически не выгодно.

Я вообще для чего спрашиваю. Мы, веб-студия, хотим предлагать нашим клиентам решения по antiddos (разумеется, сторонней компании, с которой будем сотрудничать). Собственно, нам нужно понять, какую компанию выбрать для этого самого сотрудничества и как презентовать это клиентам. Идея еще в состоянии зародыша

Anton Zheltyshev: ну это как раз понятно. Совсем мелким клиентам с только что созданным сайтом мы такое предлагать не будем, хотим крупным, которые приходит к нам за редизайном и раскруткой

Получается вам нужен только 80 порт защищать, если у вас только сайты?

Anton Zheltyshev: и 443 (HTTPS). Плюс защищать канал связи от атаки на переполннение

Я бы посоветовал бы ddosoff.ru

Anton Zheltyshev: а почему именно их?

Anton Zheltyshev: по оформлению сайт напомнил ddos-guard, о них много пишут, а об этих ребятах ничего не слышала

Переводили на них трафик, поэтому и пишу. Guard'ом не пользовался.
А атаки то были ли уже или Вы решили заранее обезопаситься от них, и новую услугу сразу для своих клиентов?

Anton Zheltyshev: было дело, соответственно, из ТОПа сайт вылетел... а претензии сразу к нам, сеошникам... (((

а из топа чтобы вывалиться, сколько времени надо чтобы сайт лежал? м?

Anton Zheltyshev: а вот это я вам не скажу ))) вдруг Вы кибертеррорист ))) на самом деле, при 1-2 апдейте

Не =) Я хороший =) Вопрос в том, что никто не знал что сайты лежат в течение всего этого времени. Как часто Я делает обход? Раз в сколько недель? В 1-3?

Anton Zheltyshev: ну мы-то знали, что он лежит, но мы-то ничего не могли поделать, не наш же хостинг

Вы на хостинге размещаетесь? Возьмите сервер сразу с защитой, например в ovh!

Anton Zheltyshev: к нам приходят клиенты, у которых сайты на разных хостингах, по-разному защищенных от ddos. Поэтому мы и хотим в довесок предлагать доп.защиту, возможно, и с переходом на другой хостинг. Но при перетаскивании с хоста на хост можно скорость загрузки упадет, что для трафика плохо. Апдейт да, 1-3 недели, но иногда и чаще, вообще надо отслеживать по сеопульту

Вам лучше взять в аренду единый сервер и собирать туда клиентов, а сам сервер чтобы был под защитой. Перенос сайтов делать в ночное время.

Anton Zheltyshev: просто некоторые принципиальные вообще не хотят переезжать... Клиенты такие клиенты. Плюс у нас в городе полно веб-студий, надо чем-то выделяться, какими-то особыми услугами. Типа, нашим клиентам - такой-то антиддос-сервис в подарок, мб

Я так понимаю объяснять пробовали, что если будет ddos, то все вопросы клиента к самому себе?
Я бы все равно собирал всех клиентов на один свой сервер, а тех кто не хочет переезжать, уже переключать под отдельную ddos защиту.
Перенос на свой сервер - это получение $ за хостинг, плюс за ddos.
Все конечно же на Ваше усмотрение, так как Вам продавать это Вашим же клиентам =)

Anton Zheltyshev: дельный совет!!! Надо предложить руководству! Клиенту-то объяснили, но там аграрии, до них долго доходит, все равно требовали деньги назад вертать

Увы! Если не профильные люди со стороны клиента занимаются вопросами IT, то с ними всегда сложно. Но такой подход не только в IT.

Anton Zheltyshev: это да... Может, глянете на предложение https://ddos-guard.net/ru ? руководству они прям нравятся, reg.ru с ними работают?

Все. вспомнил. На "серче" их видел. Но лучше почитать на "серче"!
Вот как пример searchengines.guru/showthread.php?t=818024
А при чем тут reg.ru? =)

Anton Zheltyshev: знак вопроса там лишний. Ну вроде как крутые, раз рег.ру с ними сотрудничают

ой не факт =)

Прежде всего надо определиться потеря легитимного трафика критична или нет. Если нет, то можно и на время атаки сервер выключать :) Если важно сохранить трафик, посмотрите в сторону Вымпелкома.

apkotelnikov: Вымпелком предлагает антиддос на оборудовании Radware DefensePro... Так может, напрямую от рэдвара брать железяку...?

apkotelnikov: habrahabr.ru/company/beeline/blog/222559
Из статьи, кстати, явствует, что железяки у них таки ставятся на "последней миле". Что, в общем, не очень хорошо

Эва Ра: В каком смысле напрямую брать железку? =) Самая дешевая железка стоит от 50k$ =)

Эва Ра: Железка на последней миле действительно ставится, гонять весь трафик через центр очистки постоянно накладно для клиента. Почему не хорошо? Железка стоящая на последней миле хороша тем что отлично знает профиль трафика + умеет обнаруживать атаки по обратному (от сервера) трафику (ну например HTTP Page Flood). Но она ничем не поможет при переполнении канала. Если интересно, можно вслух пообщаться +7 (499) 7500-499 ext. 2105 Антон.

Anton Zheltyshev: аааа.... ясно-понятно

Anton Zheltyshev: звиняйте, не гуглила стоимость, признаю неправоту

apkotelnikov: если верить гуглу, Вы из КриптоПро...? у вас на сайте собсно про ддос ничего нет

"Железка стоящая на последней миле хороша тем что отлично знает профиль трафика": ..на чём её достоинства и заканчиваются ) дальше начинаются недостатки. И линк клиенту положить проще, и гоняя трафик через центр очистки и обратно, каналы связи дополнительно нагружаются, слишком большие накладные расходы. Одно дело, когда нам примитивный ботнет на три-пять тысяч ботов неспешно бодает какой-то конкретный сервис. А когда нам просто зафлудили линк - это совсем другая печалька

apkotelnikov: у тебя линк до ближайшего коммутатора пропровайдера 100Мбит. я на тебя уронил, скажем, вшивый 1Гбит. Ква ) чтобы отфильтровать ДДоС, надо сначала куда-то принять ВЕСЬ поступающий трафик. а поскольку фильтр находится непосредственно перед абонентом - то инфраструктура провайдера попытается ему туда доставить всё, что прилетело. а дальше - принимай, как знаешь. не получается? твои проблемы )

кому номер то адресован то? =) Самая простая железка Radware может на вход принять до 4Gbit, если не ошибаюсь, но там есть еще программные лицензии и ежегодная оплата обновлений. Нет обновлений, нет новых сигнатур, от железки проку нет!

Хорошо если на входе 100, а не 1Мб в офис =)

Anton Zheltyshev: вот, и мне кажется, что это как купить машину - а потом тратиться на ее обслуживание и не факт, что она ездить будет нормально... А можно пользоваться общественным транспортом, метафорично выражаясь, т.е. заказать сервис типа как от DDoS-Guard.net... Не понравится - ушел к другому хостеру

Эта машинка будет работать хорошо, но при условии наличия лицензий! Под боком такая стоит =)
В Вашем случае лучше как сервис.

Anton Zheltyshev: Самая дешевая железка все же стоит менее 30К с вендорской поддержкой.

apkotelnikov: а поддержка - за отдельные коврижки? или входит в эту сумму?

radware? 30k? какая модель?

Эва Ра: Ну в какой то степени я имею отношение к Крипто-Про, но точно не оттуда :-)
Насчет атаки в 1Гб. Чтобы завалить ресурс прикрытый только FW+IPS (туда же и iptables) не нужны гигабиты, пары мегабит достаточно. А если прилетает больше, чем последняя миля, то вариантов всего один - свалить весь трафик туда, где его можно обработать. Собственно этот вариант и предлагает Вымпелком. Железка на последней миле - атаки менее полосы канала+профили трафика+ выработка сигнатуры на конкретную атаку. Если есть опасность превышения атакой полосы последней мили, железка на стороне клиента сигнализирует наверх и отдает всю "историю". Переключения трафика, как такового, нет - в магистрали два MPLS Path с разными костами, соответственно нет и потерь трафика.

apkotelnikov: ну вы же дали телефон КриптоПро... Беспалевная такая реклама

Эва Ра: Anton Zheltyshev: Radware Defense Pro 206 цены без НДС 19800 железка, 3762 поддержка на год менеджмент без репортера и поддержки 0 (не совсем конечно 0 - ставится на вмвару, которую тоже где то надо поднять) поддержка на менеджмент 1313 репортер 5500 и поддержка на репортер 770. Менеджмент нужен если не охота через веб конфигурить а репортер если не охота сислог хранить/обрабатывать. Впрочем если приобрести на железку услугу у вымпелкома менеджмент с репортером бесплатно.

apkotelnikov: завалить вменяемый фаервол парой мегабит - ну-ну.... это только если фаервол вообще не настраивать, или иметь в виду сферическую атаку на сферический ненастроеный фаервол в вакууме. в противном случае вымпелкомовские фильтры на стророне клиента тоже валились бы от малейшего щелчка.

206? не слышал про такую =) Вроде всегда младшая модель была 1016, не?

Эва Ра: Телефон не Крипто Про, поиск в гугле дает первой ссылкой страничку Крипто Про с партнерами :-), там я есть. И про "завалить FW парой мегабит" я тоже не говорил :-) я говорил что можно завалить ресурс, находящийся за FW, парой мегабит.

Anton Zheltyshev: 206 - платформа ODS VL. На данный момент живые платформы
DP-х06 200M-2000M легитимного трафика (но считается трафик в обе стороны)
DP-х412 2000M-12G+ легитимного траффика
DP-х420 10G-40G
DP-x4420 50G-160G
Что касается платформы DP-x16 (1016 младшая в ней) то у нее EoS январь 2017

Спасибо за инфу =)

apkotelnikov: звиняйте, сударь, проклятая невнимательность )))

Anton Zheltyshev: Не за что :-)

Эва Ра: Ерунда :-)