अमेज़ॅन ईसी 2 लोड बैलेंसर: डीओएस हमले के खिलाफ बचाव?

Question

हम आम तौर पर iptables के साथ आईपीएस पते को ब्लैकलिस्ट करते हैं। लेकिन अमेज़ॅन ईसी 2 में, यदि लोचदार लोड बैलेंसर के माध्यम से कोई कनेक्शन जाता है, तो रिमोट एड्रेस लोड बैलेंसर के पते से बदल दिया जाएगा, iptables बेकार। HTTP के मामले में, वास्तविक रिमोट पता खोजने का एकमात्र तरीका HTTP शीर्षलेख HTTP_X_FORWARDED_FOR पर देखना है। मेरे लिए, वेब अनुप्रयोग स्तर पर आईपी अवरुद्ध करना एक प्रभावी तरीका नहीं है।

इस परिदृश्य में डीओएस हमले के खिलाफ बचाव करने का सबसे अच्छा अभ्यास क्या है?

In this article, किसी ने सुझाव दिया है कि हम लोचदार लोड बैलेंसर को हैप्रोक्सी के साथ प्रतिस्थापित कर सकते हैं। हालांकि, ऐसा करने में कुछ नुकसान हैं, और मैं यह देखने की कोशिश कर रहा हूं कि कोई बेहतर विकल्प है या नहीं।

Answer 1

मुझे लगता है कि आपने सभी मौजूदा विकल्पों का वर्णन किया है। समाधान के लिए वोट देने के लिए आप कुछ एडब्लूएस फोरम थ्रेडों पर झुकना चाह सकते हैं - अमेज़ॅन इंजीनियरों और प्रबंधन ईएलबी सुधारों के लिए सुझावों के लिए खुले हैं।

Answer 2

रिवर्स प्रॉक्सी के पीछे एक एप्लिकेशन सर्वर चलाने के लिए आम है। आपकी रिवर्स प्रॉक्सी वह परत है जिसका उपयोग आप अपने एप्लिकेशन सर्वर पर ट्रैफिक होने से पहले डीओएस सुरक्षा जोड़ने के लिए कर सकते हैं। Nginx के लिए, आप the rate limiting module पर कुछ ऐसा कर सकते हैं जो मदद कर सकता है।

Answer 3

आप एक ईसी 2 होस्ट स्थापित कर सकते हैं और अपने आप से हैपरोक्सी चला सकते हैं (यही वह है जो अमेज़ॅन किसी भी तरह से उपयोग कर रहा है!)। फिर आप उस सिस्टम पर अपने iptables- फ़िल्टर लागू कर सकते हैं।

Answer 4

यदि आप ईसी 2-क्लासिक की बजाय वीपीसी का उपयोग करके अपने ईएलबी और उदाहरणों को तैनात करते हैं, तो आप ईएलबी तक पहुंच प्रतिबंधित करने के लिए सुरक्षा समूह और नेटवर्क एसीएल का उपयोग कर सकते हैं।

http://docs.aws.amazon.com/ElasticLoadBalancing/latest/DeveloperGuide/USVPC_ApplySG.html

Answer 5

यहाँ एक उपकरण के साथ मैं अपाचे, ईएलबी, और एसीएल एडब्ल्यूएस पर fail2ban का उपयोग करने के लिए देख उन लोगों के लिए बनाया गया है: https://github.com/anthonymartin/aws-acl-fail2ban