Рабочие моменты

У студии в контрактах есть отдельный пункт, снимающий с нас ответственность за неработоспособность сервисов в следствие некоторых причин и явлений. Среди них, к примеру, есть пункт о неработоспособности или труднодоступности сервисов во время DDOS-атак. Часто, даже вирусная и троянская активность на компьютерах клиентов, приводящая к постоянным микро-атакам наших сервисов, является причиной блокировки доступа. Всегда есть часть клиентов которая бурчит. А если клиент еще и по совместительству «advanced user», но уверено одаривающий себя статусом «megahaker» — бурчание слышно за версту. Мол, вместо того, чтобы такие пункты в контрактах писать, лучше бы сервера быстрые покупали и каналы широкие к серверу подключали — проблем бы не было, а-то разводите тут ложную истерию по поводу. Ну так вот. Один пример из жизни одного дата-центра. В этой каше приходится варится каждый день и нам. Цитата из письма highlevel-саппорта:

We experienced a major network attack starting 08:30 PM on December 20, 2007, and resulted in a network outage that lasted for 3 hours. The outage originated with a massive DDOS (Distributed Denial of Service) attack against one of our web servers. At this point, we were seeing 50-80% packet loss to our network, and the origin/destination of attack was being investigated. Quite soon, the attack went up to 800,000 pps (packet per second) and 500 megabit per second steady almost exhausting our channels to our upstreams. The attack died by itself for about 4 minutes and returned with almost double the capacity at 1 million packets per second and sustained 900mbps on inbound data. This even went up intermittently to 1.5 million packets per second and 1.3 Gigabit per second of traffic. Due to this huge inflow of traffic, our local blocks to mitigate this attack weren’t successful and we had to seek help from our ISPs. This added to the resolution time since we had to liaison with multiple external units to get destination identified and an appropriate block instated. At approx 10:10PM, we were able to get the destination identified and block was immediately placed at our ISPs. However, despite being physically redundant, our core fiber link didn’t come up even when the inbound traffic had settled to our normal rate. This added another hour of outage while we coordinated with the fiber team to get the fault located and corrected. This fault was related to the massive inflow on traffic during the DDOS.

Те, кто в теме, поймут, о чем идет речь. Для остальных читателей, интересующихся технологиями но не понимающих, о чем идет речь, объясню. Так, средняя атака на сервер. Сначала 800 тысяч пакетов в секунду общим трафиком 500 (!) мегабит в секунду (!). Потом, после 4-хминутной активности — 1 миллион пакетов в секунду и 900 мегабит трафа в секунду. Через некоторое время 1,5 миллиона пакетов в секунду и 1.3 гигабита в секунду. И это все при том, что в дата-центре стоит несколько уровней аппаратной защиты от атак. Хостер не справился, обратился к ISP. ISP совместно «fiber team» сначала вычислял все возможные блоки IP-адресов, потом постепенно банил. Окончательно прекратить атаку стало возможно лишь сменив IP адреса на активных DNS’ах. В итоге — 4 часа частичного даунтайма. Сервисы, конечно, пытались работать, но это все было далеко от правды. Вот такая вот микроистория. И такое происходит довольно часто. К сожалению, чем локальнее/провинциальнее и чем профанистее клиент — тем сложнее ему объяснить про растущие сложности вместе с развитием интернета.