Исходное сообщение
"Эффективное блокирование тысяч IP в Linux" Отправлено nuclight, 05-Июл-07 11:15
Хехе, смотрим в статью, на сайт программы - и видим, что обрааботка происходит в _userland_. То есть каждый пакет копируется туда и обратно, с сопутствующими переключениями контекста. Фактически, это FreeBSD'шный divert, за NAT на котором столько ругали систему за тормоза. Какая при этом может быть борьба  с DDOS? И это при тм, что ведь есть же в линуксе для iptables тот же ядерный ipset. Но да ладно, проведем аналогичные измерения для FreeBSD, как по добавлению голого списка правил,что заняло час для iptables в статье по ссылке выше, так и с использованием таблиц ipfw, аналогом которых явялется ipset (быстрое сравнение в ядре). Сначала напишем перловый скрипт, который может генерировать скрипты по добавлению 70000 адресов: #!/usr/bin/perl -w use Socket qw/inet_aton inet_ntoa/; my $prefix = "ipfw add 777 deny all from "; my $suffix = " to any\n"; #my $prefix = "ipfw table 111 add "; #my $suffix = "\n"; my $base = '1.1.1.1'; my $howmany = 70000; my $nbase = unpack 'N',inet_aton($base); my @quads = map { inet_ntoa(pack('N', $_)) }             grep { $_ % 256 }             $nbase .. $howmany + $nbase; print "#!/bin/sh\n\n"; map { print $prefix, $_, $suffix } @quads; И запустим ./genips.pl > table.sh; chmod +x table.sh; time ./table.sh Получен результат: ./table.sh  10,45s user 94,32s system 104% cpu 1:40,07 total То есть, в таблицу 70000 адресов были добавлены менее чем за 2 минуты! И это при том, что внешняя программа ipfw вызывалась в скрипте 70000 раз.

Ваше сообщение
Имя*:
EMail:	Для отправки ответов на email укажите знак ! перед адресом, например, !user@host.ru (!! - не показывать email). Более тонкая настройка отправки ответов производится в профиле зарегистрированного участника форума.
Заголовок*:
Сообщение*:	> Хехе, смотрим в статью, на сайт программы - и видим, что обрааботка > происходит в _userland_. То есть каждый пакет копируется туда и обратно, > с сопутствующими переключениями контекста. Фактически, это FreeBSD'шный divert, за NAT > на котором столько ругали систему за тормоза. Какая при этом может > быть борьба с DDOS? И это при тм, что ведь > есть же в линуксе для iptables тот же ядерный ipset. > Но да ладно, проведем аналогичные измерения для FreeBSD, как по добавлению голого > списка правил,что заняло час для iptables в статье по ссылке выше, > так и с использованием таблиц ipfw, аналогом которых явялется ipset (быстрое > сравнение в ядре). Сначала напишем перловый скрипт, который может генерировать скрипты > по добавлению 70000 адресов: > #!/usr/bin/perl -w > use Socket qw/inet_aton inet_ntoa/; > my $prefix = "ipfw add 777 deny all from "; > my $suffix = " to any\n"; > #my $prefix = "ipfw table 111 add "; > #my $suffix = "\n"; > my $base = '1.1.1.1'; > my $howmany = 70000; > my $nbase = unpack 'N',inet_aton($base); > my @quads = map { inet_ntoa(pack('N', $_)) } > > grep { $_ % 256 } > > $nbase .. $howmany + $nbase; > print "#!/bin/sh\n\n"; > map { print $prefix, $_, $suffix } @quads; > И запустим ./genips.pl > table.sh; chmod +x table.sh; time ./table.sh > Получен результат: ./table.sh 10,45s user 94,32s system 104% cpu 1:40,07 total > То есть, в таблицу 70000 адресов были добавлены менее чем за 2 > минуты! И это при том, что внешняя программа ipfw вызывалась в > скрипте 70000 раз.
	Введите код, изображенный на картинке: