Использование .htaccess для устранения атак типа «отказ в обслуживании»

Question

У меня есть приложение, требующее входа в систему.

Доступ к сайту возможен только на одной странице входа в систему.

Я обеспокоен DDOS и получил (благодаря друзьям здесь) возможность написать сценарий, который будет распознавать потенциальные атаки DDOS и заблокировать конкретный IP-адрес для предотвращения доступа к сайту (также мера безопасности для предотвращения комбинации нескольких паролей/имени пользователя догадки)

Есть ли какая-либо ценность в блокировании этих IP-адресов, которые оскорбляют .htaccess. Я могу просто изменить файл, чтобы предотвратить доступ моего сервера к нарушительному IP в течение определенного периода времени, но может ли он сделать что-нибудь полезное? Будут ли входящие запросы по-прежнему накапливаться в системе, даже если .htaccess предотвращает их обслуживание или уменьшит нагрузку, разрешающую подлинные запросы?

стоит отметить, что большинство моих запросов будет поступать из ограниченного диапазона истинных IP-адресов, поэтому реализация я намереваюсь вдоль линий:

Если DDOS атака подозревала, Разрешить доступ только с IP-адресов, из которого был предыдущим хорошим входом в течение установленного периода времени. Заблокируйте все подозрительные IP-адреса, где не было хорошего входа в систему, если только не был запрошен ручной запрос на разблокировку.

Ваш совет мудреца будет очень благодарен. Если вы считаете, что это пустая трата времени, пожалуйста, дайте мне знать!

Реализация в значительной степени чистая PHP.

Answer 1

Загрузка, вызванная атакой DDOS, будет ниже, если будет заблокирован .htaccess, поскольку нежелательным соединениям будет отказано рано и не разрешено вызывать ваши PHP-скрипты.

Возьмем, к примеру, запрос для сценария входа в систему, ваш сервер Apache вызовет скрипт PHP, который (я предполагаю) выполняет поиск пользователя в какой-либо базе данных. Это нагрузка.

Request <---> Apache <---> PHP <---> MySQL (maybe) 

Если вы блокируете и IP (например 1.2.3.4) Ваш htacess будет иметь дополнительную строку, как это:

Deny from 1.2.3.4 

И просьба будет идти немного как это:

Request <---> Apache <-x-> [Blocked] 

И никаких сценариев PHP или вызовов в базе данных не будет, это меньше нагрузки, чем предыдущий пример.

Это также добавило бонуса к предотвращению нападений с использованием bruteforce в форме входа. Вам нужно будет решить, когда добавлять IP-адреса в список блокировок, возможно, когда они выдают неверные учетные данные 20 раз в минуту или непрерывно в течение получаса.

Firewall

Было бы лучше, чтобы блокировать запросы, используя брандмауэр, хотя, а не с .htaccess. Таким образом, запрос никогда не попадает на apache, это простое действие для сервера, чтобы удалить пакет на основе правила IP-адреса.

Строка ниже команда оболочки, которая (при запуске с правами администратора) добавит IPtables правила отбрасывать все пакеты, исходящие из этого IP-адрес:

/sbin/iptables -I INPUT -s 1.2.3.4 -j DROP