[notMe2]

Thanks for the quick reply. Really amazing tool

[Feel1986]

Originally Posted by spumer Зачем?

Ну если запущено несколько серверов. Каждому отдельный процесс не запускать редиректа
Перехватываем весь ff54:ff56, редиректим на прокси, прокси отдает кеш запрашиваемого IPORT. Прокси пускай получает массив ответов серверов и отдает информацию по тому что спрашивали.
А так прийдется каждый сервер отдельно настраивать, проксировать и фильтровать

Так же вопрос, когда мы редиректим в NAT на прокси, чтобы скрипт получил и обработал трафик, его нужно запустить в систему в conntrack, а conntrack забьется при атаке.
Тут надо как-то получить пакет, ответить на него и сразу удалить с контрек srcIP. Никакие хешлимиты тут не помогут, ибо будет потеря трафика

[spumer]

Originally Posted by Feel1986 Ну если запущено несколько серверов. Каждому отдельный процесс не запускать редиректа Перехватываем весь ff54:ff56, редиректим на прокси, прокси отдает кеш запрашиваемого IPORT. Прокси пускай получает массив ответов серверов и отдает информацию по тому что спрашивали. А так прийдется каждый сервер отдельно настраивать, проксировать и фильтровать

Процесс и так один будет. Настраивать в любом случае надо каждый. Просто указываешь сервер в конфиге и всё. Всё что описано будет опрашиваться и проксироваться. Автогенерация конфига это скорее про крупных хостеров, обычно серверы добавляются не так часто, текущего функционала должно хватать.

Originally Posted by Feel1986 Так же вопрос, когда мы редиректим в NAT на прокси, чтобы скрипт получил и обработал трафик, его нужно запустить в систему, а как же conntrack, он забьется при атаке. Тут надо как-то получить пакет, ответить на него и сразу удалить с контрек srcIP. Никакие хешлимиты тут не помогут, ибо будет потеря трафика

Всё так, пока эта проблема присутствует и надо немного изменить архитектуру. До conntrack вообще допускать не надо. Что касается потери трафика, то главное не терять легитимный трафик, в основном в этом сложность. Здесь у меня тоже есть идеи для полноценного решения.

[Feel1986]

Originally Posted by spumer Процесс и так один будет. Настраивать в любом случае надо каждый. Просто указываешь сервер в конфиге и всё. Всё что описано будет опрашиваться и проксироваться. Автогенерация конфига это скорее про крупных хостеров, обычно серверы добавляются не так часто, текущего функционала должно хватать. Всё так, пока эта проблема присутствует и надо немного изменить архитектуру. До conntrack вообще допускать не надо. Что касается потери трафика, то главное не терять легитимный трафик, в основном в этом сложность. Здесь у меня тоже есть идеи для полноценного решения.

Да, в conntrack трафик если впустить этот то проблема, резать однозначно в raw нужно но как его обработать.
предлагаю связаться в телеграм или каклибо, есть так же идеи и хорошие знания фаервола. Подумать вместе как решить проблему данного трафика.

[daffyy]

Any solution in 2024?
sqproxy doesn't help much, the servers disappear from the list, the site can't get a response (status) and the network traffic is too high.