OpenBSD的Misc邮件列表上见到的——OpenBSD 5.0 PF and Syn attak

[leo]

术语：
TCP连接的第一个包，非常小的一种数据包。SYN攻击包括大量此类的包，由于这些包看上去来自实际不存在的站点，因此无法有效进行处理。

下面是实际应用里用OpenBSD替换linux做防火墙的例子，至于原因，有兴趣的朋友下载了资料便知一二。

OpenBSD 5.0 PF and Syn attak

Enjoyed the story,
by the way CARP & pfsync seems right solution for us today.

2011/9/25 Eukasz Czarniecki <luqe@sanki.roteh.pl>

> W dniu 2011-09-25 17:50, Pui Edylie pisze:
> > Hi Everyone,
> >
> > I am trying to put a pair of OBSD box together to provide Syn, UDP and
> > ICMP flood protection with pretty graphs.
> >
> > May I know if anyone has accomplished this?
>
> Check this out:
>
> Bakeca.it DDoS: How Evil Forces Have Been Defeated
>
>
>
http://data.proidea.org.pl/confidence/5 ... e_2009.pdf

>
>
http://data.proidea.org.pl/confidence/5 ... silico.avi

直接下载那个PDF即可明白故事的原委了，我也下载了第二个链接的avi讲座，但是，个人认为这个avi看不看均可，因为....

[hyaska]

补充一下，还可以看看 http://www.vimeo.com/14800438

[junfengfan]

TCP连接的第一个包，非常小的一种数据包。SYN攻击包括大量此类的包，由于这些包看上去来自实际不存在的站点，因此无法有效进行处理。

下面是实际应用里用OpenBSD替换linux做防火墙的例子，

是不是这种攻击用 openbsd pf 就可以避免? linux做防火墙不可避免？

[leo]

不可能避免，攻击方是否发动攻击和你用的防火墙无关，要看人家是否愿意停止攻击，不过，根据此文的描述，同等网络条件下OpenBSD抗此类攻击的能力还是不错的。PDF里也提了，作者的OpenBSD主机到带宽150M-200M时就反映慢了，相关服务仍旧会受影响，也就是其处理此类数据包的极限了。
很多攻击本身也是靠拼带宽，谁的带宽有优势谁就可能是暂时的赢家。

[hyaska]

对头，基本上拼带宽（其实就是比谁钱多），如果服务商高级点，洗流设备还可以帮到一点。

[acheng]

带宽 + 计算能力。

Cloud Computing, a Weapon of Mass Destruction?

http://defcon.org/images/defcon-18/dc-1 ... puting.pdf