1blu vserver Traffic Control
- Thread starter Helmchen
- Start date
3en6299 said:
Das Problem ist ein anderes. Du kannst sowas implementieren, dass bei einem bestimmten Traffic die VPS runtergefahren wird, nur was bringt das? Der Traffic kommt im Normalfall trotzdem noch an dem Hostsystem an, da der Router/Switch die ARP Adresse zu der IP noch eine Weile haelt. Der ISP bekommt den Traffic ja trotzdem weiter ab. Wir lassen ausdem Grund bei massiven DoS-Attacken die IPs bei den Carriern sperren. Ist die einzige Loesung, allerdings ist diese sehr schlecht fuer die Kunden, da es mitunter ein Krampf ist die IPs wieder frei zu bekommen.
T
Tyler Durden
Guest
Das Problem ist ein anderes. Du kannst sowas implementieren, dass bei einem bestimmten Traffic die VPS runtergefahren wird, nur was bringt das? Der Traffic kommt im Normalfall trotzdem noch an dem Hostsystem an, da der Router/Switch die ARP Adresse zu der IP noch eine Weile haelt. Der ISP bekommt den Traffic ja trotzdem weiter ab. Wir lassen ausdem Grund bei massiven DoS-Attacken die IPs bei den Carriern sperren. Ist die einzige Loesung, allerdings ist diese sehr schlecht fuer die Kunden, da es mitunter ein Krampf ist die IPs wieder frei zu bekommen.
Ist zwar ziemlich alt der Thread, aber trotzdem vielen Dank für die offene Antwort (selber beim Provider beschäftigt, vermute ich).
Es wäre also möglich sowas über Virtuozzo zu realisieren, sodass ein Hacker, der root Access auf dem Vhost erlangt hat effektiv daran gehindert werden könnte Traffic zu erzeugen, indem die Kiste entweder ausgemacht wird, oder das eth Interface des Vhosts einfach geblockt wird? Damit könnte dem Kunden, der den gehackten Vhost gemietet hat der Traffic nicht mehr in Rechnung gestellt werden, weil seine Kiste ja gar nicht mehr läuft, bzw nicht am Netz hängt.
Um DoS Attacken ging es weder dem Fragesteller, noch mir (muss ich den Unterschied erklären?) - sondern um Traffic der von einem Einbrecher erzeugt wird. Dass das bei DoS Attacken sinnlos ist (zumindestens für den Provider des Virtuozzo Servers, der Kunde, der den Vhost gemietet hat könnte gut sagen, dass er den Traffic nicht zu verantworten hat, da seine Maschine ausgestellt wurde, von der Traffic Kontrolle im VPP) ist nur ein vorgeschobener Grund das nicht umzusetzten. Schließlich erzeugen gehackte Server viel mehr Traffic mit dem ein Provider von Virtuozzo Servern gut verdient (vermutlich besser als mit den Grundgebühren).
Selbst nachdem ich mich bei meinem Virtuozzo Provider beschwert habe, dass die Grundinstallation hoffnunglos veraltert ist und mindesten 80 Security updates fehlen, wurde zwar gesagt, dass Nachgebessert wurde. Das Resultat war aber immernoch keine Updates und (obwohl ausdrücklich nicht gewünscht) eine confixx Installation, die an sich schon eine Sicherheitslücke ist, egal ob gut konfiguriert, oder nicht.
Dazu wurden ungefähr alle Mailserver, die die Distribution zu bieten hat installiert und unkonfiguriert liegen gelassen - hab noch nicht überprüft, ob da nach einer reinstallation aus der Grundinstallation ein offenes Mail Relay rauskommt...wundern würde mich das nicht. Dazu nen Samba Server und nen pro FTP Server, finger über inetd aktiviert....usw - ein Alptraum aus Sicherheitstechnischer Sicht.
Zusammengenommen führt mich das zu der Überzeugung, dass das nicht Unwissen seitens der Virtuozzo Betrieber ist, bzw. eine Traffic Kontrolle mit konfigurierbaren Aktionen im VPP sinnlos ist, sondern pure Absicht, damit weniger erfahrene Mieter, die nur mit Confixx, oder Plesk arbeiten können, ne gute Chance haben gehackt zu werden und der Provider dann gutes Geld mit dem Traffic verdienen kann weil der Mieter ja für die Sicherheit selber verantwortlich ist.
Eine Kontroller des Traffic in Virtuozzo mit Aktionen, die den Server vom Netz nehmen, bei einer Traffic Überschreitung, auch wenn der Hacker root Access auf dem Vhost hat wäre für die Kunden also sehr wohl interessant und auch effektiv.
Da die Virtuozzo VServer Anbieter aber ein Interesse daran haben, mit dem Traffic Geld zu verdienen, wird das aus Anbieter Sicht entweder nicht benötigt, oder ist sogar ausdrücklich unerwünscht. Daher wird die Anforderungen der Endkunden (Mieter der VServer) niemals beim Entwickler swsoft ankommen, weil die Anforderung von dem direkten Kunden von swsoft kommen muss, also den Virtuozzo VServer Anbietern.
Das ist also Web 2.0 - hab mich schon immer gefragt was die damit wohl meinen
Ich werde mir jetzt erstmal nen Script schreiben, dass mir meine vnstat, oder iptraf logs auswertet und ggf. die Kiste runterfährt, das schützt mich zwar nicht vor einem Hacker, der root Zugriff hat, aber zumindestens vor einem, der noch "nur" einen User Account hat und trotzdem schon Traffic erzeugt.
mfg tyler
p.s.: Wenn ich mich mal selbständig mache, werde ich VServer Anbieter, da scheint ne Menge Geld drin zu sitzen