Повесили кошку 7120

[Heggi]

Случилось это так: В один прекрасный момент начал тупить инет а потом и вообще пропал.

Не пиналась только 7120, которая стоит за Л3 мутатором 3550.

Расследование показало, что один клиент, посылая тонны пакетов на 80 порт UDP(!!!) просто грузит проц циске на 100%, от чего ей становится плохо и тошнит.

 

Вопрос: как избежать подобных проблем в будущем?

[woddy]

потому у меня всегда был закрыт удп80. кроме ддоса по нему ничего не бывает.

[Heggi]

сегодня ддос по удп80, а завтра tcp syn 80, а tcp 80 не закроешь.

Сам принципе решения проблемы? Лимитировать количество пакетов в сек?

[vindium]

Включить Control Plane Protection? Правда 7120 железка старая, надо смотреть какой там последний IOS.

Edited September 15, 2009 by vindium

[terrible]

а tcp 80 не закроешь

ну смотря куда

[woddy]

сегодня ддос по удп80, а завтра tcp syn 80, а tcp 80 не закроешь.

у меня была одна точка (40 клиентов-юриков) на канале в 6/1мбит. пока не закрыл 80удп и не ограничил число запросов в минуту 25тсп - кто-нибудь да убивал канал. после введения ограничений ни одной жалобы/проблемы.

[casperrr]

Имхо любой юдп флуд будет валить.

cat /dev/zero | netcat -u IP_интерфейса PORT, порт любой. Пробовал. И не важно, фильтруется он асл или нет.

control-plane тоже может не помочь, resource policy можно попробовать для детекта таких ситуаций.

Edited September 15, 2009 by casperrr

[silvercaptain]

Случилось это так: В один прекрасный момент начал тупить инет а потом и вообще пропал.

Не пиналась только 7120, которая стоит за Л3 мутатором 3550.

Расследование показало, что один клиент, посылая тонны пакетов на 80 порт UDP(!!!) просто грузит проц циске на 100%, от чего ей становится плохо и тошнит.

 

Вопрос: как избежать подобных проблем в будущем?

rate-limit ?

Router(config-if)#rate-limit input access-group 101 2010000 250000 250000 conform-action transmit exceed-action drop

Router(config)#access-list 101 permit udp any any eq 80

[casperrr]

Случилось это так: В один прекрасный момент начал тупить инет а потом и вообще пропал.

Не пиналась только 7120, которая стоит за Л3 мутатором 3550.

Расследование показало, что один клиент, посылая тонны пакетов на 80 порт UDP(!!!) просто грузит проц циске на 100%, от чего ей становится плохо и тошнит.

 

Вопрос: как избежать подобных проблем в будущем?

rate-limit ?

Router(config-if)#rate-limit input access-group 101 2010000 250000 250000 conform-action transmit exceed-action drop

Router(config)#access-list 101 permit udp any any eq 80

Не поможет. В момент флуда sh proc cpu показывает высокую заргрузку по прерываниям в независимости от того, дропаются пакеты каким-либо механизмом, или нет.

[Heggi]

Так какой выход? Фильтрануть udp 80 на кошке 3550 (стоит перед 7120)? 3550 себя хорошо вела, даже под флудом.

[nnm]

Так какой выход? Фильтрануть udp 80 на кошке 3550 (стоит перед 7120)? 3550 себя хорошо вела, даже под флудом.

Модно попробовать Storm Control на 3550 использовать. Он умеет по pps полисить.

[terrible]

а я бы закрыл нафик UDP 80, ну глюканёт что-нибудь у одного клиента из тысяч раз в месяц, он подумает, что так и должно быть и забьёт на трабл.