Зарегался чтобы отписать
Решил проверить, и тоже много бразильских ip-шников
Как пример:
170.81.236.115
170.81.236.138
170.81.236.45
170.81.237.0
170.81.237.227
170.81.237.5
170.81.238.114
170.81.238.122
170.81.238.209
170.81.238.47
170.81.239.42
170.81.239.70
170.81.239.85
170.81.236.140
170.81.236.178
170.81.236.22
170.81.237.0
170.81.237.133
170.81.237.214
170.81.237.47
170.81.238.207
170.81.238.222
170.81.238.32
Отравил их сразу по подсетям в бан, интересно что не на всех vps такое, только на некоторых, где-то вообще пусто
Панели никакие не использую, голый xray-core с Vless+Reality с маскировкой под свой домен и на некоторых VLESS +XTLS -Vision тоже с маскировкой под свой домен
Вы делаете хуже/так же как и по дефолту. (Да и некоторые параметры ниже тоже хуже дефолтных и даже не относятся к отражению флуда, например про буферы, fastopen, mtu probing, slow start). То что происходит в теме на атаку вообще не походит, просто флуд, неизвестно только зачем он
У вас через VPS данные с торрент-клиента не пересылаются ли на анонсеры или DHT (не путать с “соединение с пиром”)?
Есть раздача, на которой много бразильцев присутствует. Отдача им не идет, но в обмене данными присутствуют постоянно.
ps: в результатах tcpdump -n -f "port 443 and inbound and tcp[tcpflags] & (tcp-syn) != 0" был в том числе мой ip провайдера.
Понял, благодарю за замечания (сам в этой сфере можно сказать новичок-самоучка, многого не понимаю как следует, а ChatGPT больно часто ошибается), поправил коммент и оставил только оптимально-минимальные параметры.
Насколько я понимаю это нормально. При добавлении адреса в блэклист трафик от него всё-рано продолжает поступать, но дальше файервола он никуда идёт (сужу в том числе и по своим настройкам в iptables, в котором видно сколько трафика было заблокировано с определённых адресов).
Точно не скажу, но неделю-две назад качал через торрент в качестве эксперимента парочку раздач, как раз со включенным DHT, поиском локальных пиров и т.д. (хостер VPS такой трафик разрешает, а мой ОпСоС в свою очередь блокирует торренты в любом виде). Вот только не помню, чтобы на тех раздачах присутствовали бразильцы.
BTW, мне кажется что в причинах данного флуда РКН всё-же не при чём, слишком странно для них это выглядит.
Подтверждаю, у меня на сервере тоже самое происходит, сначало шло с 177.0.0.0/8 и 170.81.0.0/16 , боролся просто заблокировав эти подсети через iptables:
iptables -t raw -A PREROUTING -s 170.81.0.0/16 -j DROP
iptables -t raw -A PREROUTING -s 177.0.0.0/8 -j DROP
Но теперь они вообще с абсолютно разных подсетей дудосят, что с этим делать не знаю, мне к сожалению не хватает знаний.
Как вариант - установить GeoIP модуль и блокировать все подключения из Бразилии / всех стран, кроме России + США + Европы + *страны расположения самого сервера*
У меня в управлении четыре сервера у хостера H2NEXUS.
На три из них идёт такая «спам» атака с подсетей 177.0.0.0 и ряда других которые тут указывали.
И самое важное - на них как раз есть 3X-UI.
На которого нет атаки - не установлен 3X-UI.
Чем грозит в теории такие сканы кроме нагрузки на процессор/скорость сервера?
Если такими атаками можно найти сервера для взлома и дальнейшей эксплуатации, то видимо кто-то решил просканировать интернет для расширения своей базы «ботнетов».
Если есть возможность, то заблокируйте весь icmp трафик у себя на сервере, по типу
в raw_prerouting
iifname “eth0.2” ip protocol icmp drop
и в raw_output
oifname “eth0.2” ip protocol icmp drop
а так же на вход, выход и переадресацию
это вас избавит от многих проблем, но если нет такой возможности, то значит вам не повезло )
Конечно если захотят, то начнут использовать и другие пути, но это ведь надо захотеть, а с другой стороны зачем, если и так полно всего, то вероятность что отвяжутся, ну или оставят на закуску, так, чисто для тренировки )
