서버 운영하면서 Dos, Drdos 공격이 수시로 들어와 걱정입니다.
공격은 대부분 이런 패턴으로 들어옵니다.
프로토콜 : IPv4
길이 : 1514
정보 : Fragmented IP protocol (proto=UDP 17, off=0, ID=91bb)
이게 더더욱 힘들게 만드는건.. 트래픽은 120Mbps정도로 흘러들어오는데 (1Gbps 회선 기준) 회선 하나뿐만 아니라 제가 살고있는 동 전체가 다 인터넷이 나가버린답니다.. (KT에서 결국 장비를 하나더 끼워주고 혼자 쓰라고 하고 가더군요.)
그냥 아무런 지식도 없는데 이런 패킷보면 그냥 덜컥 DrDos라 생각하고 회선 분리하고 잠잠해지길 기다리는 방법밖에 없는데, 공격이 들어오면 다른 서버에도 전부다 피해를 보니 문제입니다..
이런 공격 유형을 막는 근본적인 방법이 있을까요?
DrDos는 L3 스위치가 있으면 대역폭이 100%로 들어오는게 아니라 막을수 있다는 소리를 얼핏 들었는데, 이게 DrDos 공격인지 단순 Dos 인지 구분도 안되고 그냥 들어오면 당하는거밖에 방법이 없어서 답답해서 글 올려봅니다.
집에서는 절대 무리
미크로틱 공부하면 스크립트를 사용해서 부하가 커지는 IP를 일정시간 짤라 버릴수 있습니다..
(저는 그 셋팅법에 대하여 잘 모릅니다.)
그런 방화벽 정도가 개인이 할 수 있는 전부입니다.
아니면 디도스 막아주는 호스팅서비스가 있는데 역시나 돈이 문제입니다.
뭐 900메가 이렇게 풀로 들어오는 공격이라면.. 그냥 공격 들어오는구나.. 해야하는데 120Mbps 정도라면 뭔가 패킷에 장비 과부하를 일으키는 요인이 있고, 그거를 해소할수 있는 방법이 있을거라 생각됩니다.
하지만, 이건 장비 담당자가 지속적으로 모니터링 하면서 해야 해서 운영의 부담도 큰 편이고, 일반 가정 Shared 회선에서는 통신사에서 그런 구성을 허용하지도 않습니다.
DDoS 트래픽은 막는게 아니라, 앞에 문형님이 말씀하신것 처럼 그 트래픽을 수용하던가, 아니면 다른 곳으로 흘려버리던가 하는 방법외에는 대안이 없습니다.
솔직히 근본적인 차단 방법은 없습니다. 기업에서도 DDoS 공격이 들어오면 대응 방법이 그때그때 조금씩 다릅니다.
Anti DDoS 장비가 있기는 하나, 내부 네트웍의 서버나 호스트가 뻗지 않도록 하는 것이 목적이지, 서비스까지 정상적으로 되는 것을 목적으로 하지는 않는 것으로 알고 있습니다. 그리고 해당 장비 앞단에 있는 네트워크 장비들은 모조리 그 부하를 몸빵하는거구요.
이제까지 본 가장 저렴하고 확실한(!) 방법은 트래픽을 계속 모니터링하다가 공격이 들어오면 그냥 선을 뽑는 것(...)이었습니다.
http://wiki.mikrotik.com/wiki/DDoS_Detection_and_Blocking ddos 막는것