HTTP Flood abwehren mit iptables

[caiz]

Guten Tag,

ich habe folgendes Problem, mein Server wird von einem BotNet auf Port 80 angegriffen.

Da die Load und der Ramverbrauch in die höhe schießt sobald apache gestartet wird schmiert der kleine Server nach wneigen Minuten komplett ab, obwohl dies kein wirklich ddos, sondern nur ein http Flood ist.

Nun, dann habe ich folgendes probiert, auf den kleinen Server einen reverse Proxy und den Traffic zu einem recht gut ausgestatteten Server weitergeleitet.

Dieser hält dem Spaß schon weitlänger aus, sogar komplett, nur die Ladezeiten sind entsprechend.

Jetzt ist meine Idee bei so einem doch eher einfacheren ANgriff, könnte ich nicht auf dem Server auf demd er ReverseProxy läuft iptables irgendwie so konfigurieren das er alle Ips die auf Port 80 soundso oft anfragen direkt dropt?


Ich habe leider nicht viel Ahnung von iptables, deswegen wäre ich überaus dankbar wenn mir jemand sagen könnte wie sowas umzusetzen wäre.

Viele Grüße,

Martin

 

[mr_brain]

Schau dir mal ddos deflate an: (D)DoS-Deflate

 

[caiz]

Danke für den Link.

Ich habe davon schonmal gehört, nur stellt sich mir momentan folgende Frage:

Muss ich dieses Tool auf dem Reverse Proxy Server oder dem Apache Server installieren?

Ich denke doch dann auf dem Reverse Proxy Server, denn wenn ich es auf dem Apache Root installiere wird er ja sofort alles blockieren weil es ja in der Natur der Sache liegt das der Reverse dauernd anfragt.

Im Endeffekt sieht auf dem Apache Root nur der Apache an sich durch x forwarded for die reale Ip der Bots.

Für das System sieht es ja so aus als ob nur der Root wo der Reverse Proxy läuft ständig anfragt.

Edit: Habe das Script jetzt mal auf dem Server des Reverse Proxys installiert, doch immer wenn ich es ausführe kommt folgende Meldung:

/etc/apf/internals/functions.apf: line 327: /sbin/ip: No such file or directory
iptables: No chain/target/match by that name
iptables: No chain/target/match by that name


Wie bekomme ich /sbin/ip denn ? Ist übrigens Debian Etch.

Gruß