Obrona przez syn flood.

Nie wiem czy to dobry dział, więc z góry przepraszam jeżeli źle zamieszczam wątek.

Jakiś czas temu kupiłem sobie w nazwa.pl vps w fajnej cenie (po 99gr za miesiąc na rok) do nauki i zabawy.
Postawiłem tam kilka projektów na laravel w oparciu o nginx i podpiąłem pod swoje domeny (nic poważnego, po prostu bawiłem się i eksperymentowałem z różnymi rzeczami).

Ostatnio jednak przyszły zdjęcia i film ze ślubu, więc żona wpadła na pomysł, żeby klepnąć stronkę i w ten sposób udostępniać gościom materiały.
Tak też zrobiłem i strona pochodziła może z tydzień.

Dziś rano dostałem maila z wiadomością o zablokowaniu serwera z powodu ataku typu Syn flood. Kontaktowałem się z supportem poprzez chat, ale dostałem informację, żebym załatwił sprawę sprawę drogą mailową dopisując, że podejmę odpowiednie kroki, aby to naprawić.

Pytanie do Was na czym takie kroki mają polegać?
Jestem totalnym samoukiem i wszystkiego uczę się na drodze prób i błędów, ale w tym przypadku ciężko chyba "przyatakowtać" sobie serwer po trochu, żeby zobaczyć czy to co znajdę w necie działa i nie zaczynam blokować własnego serwera.

Przeczytałem oczywiście na czym sam atak polega i w internecie sugerują założenie systemowych firewalli. Serwer kupiłem jak wspomniałem do nauki, ale ciężko mi w tym przypadku co zmiana ustawień czekać na ewentualny kolejny atak i sprawdzać czy coś się poprawiło.

Pytanie i prośba więc do Was o jakieś pomocne linki/materiały/gotowce jak się przed czymś takim skutecznie zabezpieczać.

VPS jest na Ubuntu 16.04. Z dodatkowych aplikacji instalowałem tylko jakiś program do uploadowania wideo na YT z poziomu konsolki. Dokładniej ten

weź też pod uwagę, że te najtańsze VPSy mogą być po prostu słabo chronione (brak Anty DDoS, coś za coś) i to nie koniecznie musi być twoja wina, przy takich rozwiązaniach jest zasada "martw się sam" i dostawca raczej ma to gdzieś

W ten sposób o tym jeszcze nie pomyślałem...

Chociaż niby regularna cena 50zł miesięcznie w stosunku do konkurencji najtańszą bym nie nazwał bo hostuje od kilku miesięcy jedna stronę dla znajomej na najtańszym VPSie od OVH, gdzie domena jest w czołówce googla w swojej kategorii i nigdy nie było u nich problemu... a cena 4x mniejsza :P

Tak czy inaczej martwienia się samemu o własny tyłek trzeba się w końcu nauczyć, bo jednak płacić za coś nawet grosze, a mieć zablokowaną usługę co pewien okres na jakiś czas też jest bez sensu.

Sugerujesz jakieś lepsze rozwiązania dla budżetowych/prywatnych projektów? Zbieram się powoli do zrobienia w końcu jakiegoś portfolio i poszukania pracy jako programista, więc wolałbym, żeby to się nie krzaczyło zbyt często :P

Dla budżetowych własnych projektów to sobie kup starego laptopa za 500 zł, zainstaluje na nim Linuksa i już masz serwer dedykowany. Prądu dużo nie będzie ciągnąć, a i w zestawie gratis wbudowany ups. Postaw wszystko sam, to sie nauczysz co i jak.

No chyba nie masz zewnętrznego ip, wtedy to nie ma sensu.

Robiłem takie rzeczy kiedyś ze stacjonarki jak zaczynałem się uczyć programowania i chciałem się pochwalić komuś co tam ciekawego w HTMLu naskrobałem :P
Co do linuxa to ostatnio przerabiałem stawianie serwera na debianie, który łączył się tylko po lanie z moim kompem, więc nie wymyśliłem nic lepszego niż wgrywanie wszystkich zależności za pomocą pojedynczych .debów....

Serwery na OVH do tej pory nie miały ani jednej awarii, więc też nie czułem potrzeby zagłębiania się, aż tak w zabezpieczenia od strony serwerów. Dodatkowo nie ma za dużo ostrzeżeń i informacji na ten temat w necie, że jest to obowiązkowa wiedza przy uruchamianiu małych projektów, więc zakładałem, że bez tego będzie to przynajmniej jakiś czas działać.
Wszędzie tylko o sql-injection, xss itd, a nikt nie mówi o konieczności stawiania firewalli na VPS, żeby nam się mała stronka dla rodziny po tygodniu nie wykrzaczyła :P

Doczytałem później, że OVH oferuje jakąś tam ochronę Anty-DDoS w cenie już od najtańszych VPSach. Nazwa nic o tym nie pisze, dlatego pewnie trzeba dbać o to samemu - zgodnie z tym co napisał Czysteskarpety.

W kwestii laptopa zamiast VPS, to nie wiem czy to taniej wyjdzie w perspektywie kilku miesięcy. W dłuższej natomiast chciałbym już móc stawiać normalne projekty b2b więc zamierzam do tej pory posiadać przynajmniej podstawową wiedzę na temat zabezpieczeń, więc i swoje mikro VPSy będę mógł ogarnąć :P

Nie chodzi tutaj o brak chęci do nauki, ale to jest już kolejna dość spora dziedzina i do ogarnięcia (a przynajmniej tak mi się wydaje) dlatego napisałem z prośbą o sprawdzone źródła/gotowce do przeanalizowania w tym kontekście :P