Portada del sitio > Sistemas > Administración > WWW > HAProxy > Proteger Web contra ataques DoS

Proteger Web contra ataques DoS

Martes 2 de julio de 2013, por Aitor Roma Vázquez

Para el que no lo conozca slowloris es una pequeña utilidad escrita en perl que sirve para realizar ataques de denegación de servicio, ralentizando una web de forma que llega un momento que ya no es accesible.

Esta configuración está destinada a ser instalada en frente de un servidor web existente el cual configuraremos de una forma especial ejecutando la web en el puerto 8080 en loopback, y haproxy se ejecutara en el puerto 80.

De está forma lograremos que todo el trafico pase directamente por haproxy.

Aquí os dejo la configuración de haproxy:

global
	daemon
	maxconn 20000        # count about 1 GB per 20000 connections
	pidfile /var/run/haproxy.pid
        stats socket /var/run/haproxy.stat mode 600

defaults
	mode http
	maxconn 19500        # Should be slightly smaller than global.maxconn.
	timeout client 60s   # Client and server timeout must match the longest
	timeout server 60s   # time we may wait for a response from the server.
	timeout queue  60s   # Don't queue requests too long if saturated.
	timeout connect 4s   # There's no reason to change this one.
	timeout http-request 5s	# A complete request may never take that long.
	# Uncomment the following one to protect against nkiller2. But warning!
	# some slow clients might sometimes receive truncated data if last
	# segment is lost and never retransmitted :
	# option nolinger
	option httpclose
	option abortonclose
	balance roundrobin
	option forwardfor    # set the client's IP in X-Forwarded-For.
	retries 2

frontend public
	bind :80             # or any other IP:port combination we listen to.
	default_backend apache

backend apache
	# set the maxconn parameter below to match Apache's MaxClients minus
	# one or two connections so that you can still directly connect to it.
	server srv 127.0.0.1:8080 maxconn 254

# Enable the stats page on a dedicated port (8888). Monitoring request errors
# on the frontend will tell us how many potential attacks were blocked.
listen stats
        # Uncomment "disabeled" below to disable the stats page :
	# disabled
	bind       :8888
	stats uri /

Por ultimo nos queda configurar el servidor web para que muestre las cabeceras Xforward_for, en el caso de usar nginx añadiríamos esto en la sección http de /etc/nginx/nginx.conf

set_real_ip_from localhost;
real_ip_header X-Forwarded-For;

Eso es todo ;)

Fuente:http://haproxy.1wt.eu/download/1.3/examples/antidos.cfg

Proteger Web contra ataques DoS

¿Un mensaje, un comentario?