- NLNOG - mailman3.nlnog.net

El cheapo WDM
by alex＠bit.nl 24 Oct '03

24 Oct '03

Hi, GigE en SDH over 1 fiberpaar voor weinig: http://foto.sambalbij.nl/showtwo.php?one=2003-10-24&two=WDM%20type%20Alex -- Met vriendelijke groet, Alex Bik, BIT BV AB2298-RIPE

1 0

ORF
by bvisser-nlnog＠xs4all.nl 23 Oct '03

23 Oct '03

> On Wed, 22 Oct 2003, MarcoH wrote: > >> Dan nog moet je IMHO het target richting /dev/null zetten, die is toch >> al down. Zodra je mogelijk gespoofde sources gaat blackholen heb je kans >> dat die script kiddies 2 vliegen in 1 klap slaan, en de target gaat >> onderuit en een onschuldig netwerk wordt aan alle kanten richting >> /dev/null gerouteerd en gaat dus ook plat. > > Daarom zou je ook in andere netwerken moeten kunnen filteren op source > EN destination. Alleen packets van <x> naar <y> droppen dus. FYI: De > dozen bij ons die de laatste tijd gedossed zijn (IRC servers) zijn niet > down geweest. Wel onbereikbaar via transit, omdat daar de attacks > vandaan kwamen. Ah, dat beantwoordt meteen een vraagje dat ik had, nl hoe nodig een ams-ix spoofing filtering awareness dag zou zijn. Ten minste, ik neem aan dat jij ook praat over de gespoofde attacks die Pim noemde ? Als die vooral via je transits binnenkwamen, zou je denken (laten we positief zijn) dat je [ams-ix] peers al behoorlijk voorzien zijn van anti-spoofing filters. Nu de rest van de wereld nog ... Boudewijn (overigens, ook zonder spoofing ,of met spoofing binnen dezelfde netwerk range, kunnen natuurlijk heel grote DDos'en gedaan worden. Ze zijn dan alleen makkelijker te traceren )

4 8

ORF
by pim＠bit.nl 22 Oct '03

22 Oct '03

Hoi, Wat heb ik aan ORF als: a. mijn IP upstreams het niet ondersteunen b. ik tcpsyn en udpfloods krijg met gespoofte source adressen ? Ik zie het niet zo zitten dus als oplossing voor DDoS. -- __________________ Met vriendelijke groet, /\ ___/ Pim van Pelt /- \ _/ Business Internet Trends BV PBVP1-RIPE /--- \/ __________________

4 12

ddos filtering (Was: RE: [Nlnog] xs4all problemen ?)
by bvisser-nlnog＠xs4all.nl 22 Oct '03

22 Oct '03

[..] >> Om de mensen wat zoekwerk te besparen : >> >> ORF - Outbound Route Filter >> >> Vertel je peer wat je niet wilt zien aan routes, en je krijgt ze ook >> niet. > > Ik had het er in mijn hoofd bij getyped, alleen je moet dus > niet tig dingen door elkaar doen, I forgot. Niet iedereen > zal hier mee bekend zijn nog, het is vrij nieuw ook. > > Je kan momenteel dus afaik alle filters die je normaal definieert > zoals "10.0.0.0/8 le 32" per BGP aan je peer vertellen maar ook > ASpath filters zijn mogelijk. Nadeel was dus dat dit aan je peer > wordt verteld en niet verder aan andere routers. Dat lijkt me voor de hand liggen, want dat *jij* die prefixen niet wilt zien, wil niet zeggen dat anderen ze ook niet willen. Dus zou je jouw AS erbij moeten voegen (AS 123 wil filterset xyz). Maar ASen die niet rechtstreeks met jou communiceren, kunnen daar toch niks mee, want hun neigbours willen die prefixen wel, dus kunnen ze die voor jou niet droppen. Kortom, route filters alleen tussen BGP neighbours vind ik niet zo vreemd. Puur ORF lijkt dus meer een add-on die nuttig is voor partijen die geen full routing ontvangen, en ook zelf niet filteren, als ik de (cisco) manuals zo bekijk. [..] > Je kan momenteel een cisco/zebra oid pakken en dan de routes van > ddos'ers (sources) announcen met een bepaalde community oid. > Zie oa. http://www.secsup.org/CustomerBlackHole/ > Die pagina beschrijft de manier om bij je upstream een bepaalde *destination* (binnen je eigen netwerk ;-) ) te laten blackholen. Zeker ook nuttig, wanneer je upstream verbinding volledig dicht zit. Maar het blijft natuurlijk een DoS; Hiermee hebben alleen je andere services er geen last meer van. De slimme truken om, via uRPF en een BGP bron, *source* reeksen te droppen beper ken zich toch typisch tot je eigen netwerk. >> Ik heb een beetje het idee dat degenen die zouden deelnemen aan zoiets >> degenen zijn die toch al weinig een bron van problemen zijn, en >> indien wel, toch al snel bereikbaar om er op de gewone manier >> wat aan te doen. > > Ja, dat is helaas zeker zo, maar als je dus samen werkt kan je iig > zorgen dat die traffic niet bij de deelnemers komen. Een upstream > zou bovenstaand mechanisme kunnen maken waardoor hun die IP's al > nullrouten, geen traffic naar jou. Een onderling destination blackhole zou best kunnen, maar het aantal mensen hier dat elkaar de mogelijkheid zou durven geven om *source* reeksen te blackholen lijkt me toch wel wat kleiner. Dat is nou echt een geval waarmee je geen fuckups wilt. (Idem voor upstream providers : al je klanten de mogelijkheid geven om naar behoefte source reeksen netwerk breed te droppen ? Uhhh nee. Of zelfs border-router (waar meer dan 1 klant aan hangt) breed ? ) > > Filteren van die prefixen is netter en sneller though. Met alleen het filteren van prefixen heb je nog niks aan een DDos gedaan. Alleen kan uRPF nu verkeer droppen vanwege het ontbreken van een route. >> > een filter definieren en *flop* al je routers snappen hem. >> > (u)RPF er bij et tada. Uitgebreide voorbeelden op aanvraag :) >> >> Bovenstaande kan ieder voor zich al doen, naar source danwel >> destinations droppen en de informatie daarvoor via (i)BGP verspreiden. >> Wat sneller en makkelijker dan op een aantal plaatsen allemaal filters >> zetten. > > Dat filters plaatsen kan dan op 1 plek want je verzend de info > per BGP en ORF. Huidige ORF werkt nu dus alleen tussen 2 routers. Wat ik nog even niet zie is wat je precies zou willen filteren. Als iemand upstream een destination (binnen zijn eigen AS) wil laten blackholen, prima. Wil iemand een *source* reeks, uit een ander AS, verderop laten blackholen, wel, daar komt nogal een stukje vertrouwen en controle bij kijken, om het zacht uit te drukken. Als je de blackhole zou kunnen beperken tot een bepaalde source reeks *en gericht aan het netwerk van de klager*, zou het niet zo'n probleem zijn. Maar de uiteindelijke forwarding table in een router is niet peer-specifiek. Boudewijn

1 0

xs4all problemen ?
by bvisser-nlnog＠xs4all.nl 22 Oct '03

22 Oct '03

> On Tue, Oct 21, 2003 at 05:28:07PM +0200, Arjan wrote: >> On Tue, 21 Oct 2003 at 17:19 +0200, Raymond Dijkxhoorn wrote: >> >> > Zie veel packetloss richting het xs4all netwerk en ook sites en >> services >> > doen niet veel. >> > >> > Ik heb wel een announce gezien in xs4all.announce, last van attacks op >> de >> > RBL servers ? >> >> Gezien het feit dat de ircdoos helemaal pleitos is, al een tijdje (en de >> rest er nog wel) lijkt het me een attack op ircnet. En dat is weer niet >> geheel onvoorstelbaar... > > We hebben de afgelopen dagen verschillende floods ontvangen, irc zat er > vandaag niet bij ;-) Hoogste synflood rate die we gezien hebben was zo'n > 1,3 > miljoen pps. Door de laatste flood raakte een van de Juniper dozen in de > stress waardoor er tussen 2 lokaties vanmiddag packetloss ontstond. Misschien niet alleen vanmiddag; Op moment (tue 23.00) heeft de popserver problemen om NIS (en NFS?) te bereiken : fetchmail: POP3> PASS * fetchmail: POP3< yp_match: clnt_call: RPC: Timed out (en andere kuren : fetchmail: POP3< -ERR This user has no maildir. fetchmail: This user has no maildir. ) idem voor www.xs4all.nl, momenteel slecht bereikbaar. (vanaf xs4all DSL ) Hm, krijg de neiging om stuurman aan de wa^H^H^H consultant te gaan uithangen .... Boudewijn [is overigens ook serieus bereid om mee te denken over oplossingen & workarounds ]

3 4

xs4all problemen ?
by bvisser-nlnog＠xs4all.nl 22 Oct '03

22 Oct '03

> On Tue, Oct 21, 2003 at 05:28:07PM +0200, Arjan wrote: >> On Tue, 21 Oct 2003 at 17:19 +0200, Raymond Dijkxhoorn wrote: >> >> > Zie veel packetloss richting het xs4all netwerk en ook sites en >> services >> > doen niet veel. >> > >> > Ik heb wel een announce gezien in xs4all.announce, last van attacks op >> de >> > RBL servers ? >> >> Gezien het feit dat de ircdoos helemaal pleitos is, al een tijdje (en de >> rest er nog wel) lijkt het me een attack op ircnet. En dat is weer niet >> geheel onvoorstelbaar... > > We hebben de afgelopen dagen verschillende floods ontvangen, irc zat er > vandaag niet bij ;-) Hoogste synflood rate die we gezien hebben was zo'n > 1,3 > miljoen pps. Door de laatste flood raakte een van de Juniper dozen in de > stress waardoor er tussen 2 lokaties vanmiddag packetloss ontstond. Misschien niet alleen vanmiddag; Op moment (tue 23.00 .. 23.30) heeft de popserver problemen om NIS (en NFS?) te bereiken : fetchmail: POP3> PASS * fetchmail: POP3< yp_match: clnt_call: RPC: Timed out (en andere kuren : fetchmail: POP3< -ERR This user has no maildir. fetchmail: This user has no maildir. ) idem voor www.xs4all.nl, momenteel slecht bereikbaar. (vanaf xs4all DSL ) Hm, krijg de neiging om stuurman aan de wa^H^H^H consultant te gaan uithangen .... Boudewijn [is overigens ook serieus bereid om mee te denken over oplossingen & workarounds ]

2 2

xs4all problemen ?
by bvisser-nlnog＠xs4all.nl 21 Oct '03

21 Oct '03

> On Tue, Oct 21, 2003 at 05:28:07PM +0200, Arjan wrote: >> On Tue, 21 Oct 2003 at 17:19 +0200, Raymond Dijkxhoorn wrote: >> >> > Zie veel packetloss richting het xs4all netwerk en ook sites en >> services >> > doen niet veel. >> > >> > Ik heb wel een announce gezien in xs4all.announce, last van attacks op >> de >> > RBL servers ? >> >> Gezien het feit dat de ircdoos helemaal pleitos is, al een tijdje (en de >> rest er nog wel) lijkt het me een attack op ircnet. En dat is weer niet >> geheel onvoorstelbaar... > > We hebben de afgelopen dagen verschillende floods ontvangen, irc zat er > vandaag niet bij ;-) Hoogste synflood rate die we gezien hebben was zo'n > 1,3 > miljoen pps. Door de laatste flood raakte een van de Juniper dozen in de > stress waardoor er tussen 2 lokaties vanmiddag packetloss ontstond. Misschien niet alleen vanmiddag; Op moment (tue 23.00) heeft de popserver problemen om NIS (en NFS?) te bereiken : fetchmail: POP3> PASS * fetchmail: POP3< yp_match: clnt_call: RPC: Timed out (en andere kuren : fetchmail: POP3< -ERR This user has no maildir. fetchmail: This user has no maildir. ) idem voor www.xs4all.nl, momenteel slecht bereikbaar. (vanaf xs4all DSL ) Hm, krijg de neiging om stuurman aan de wa^H^H^H consultant te gaan uithangen .... Boudewijn [is overigens ook serieus bereid om mee te denken over oplossingen & workarounds ]

1 0

xs4all problemen ?
by erik＠xs4all.net 21 Oct '03

21 Oct '03

On Tue, Oct 21, 2003 at 05:28:07PM +0200, Arjan wrote: > On Tue, 21 Oct 2003 at 17:19 +0200, Raymond Dijkxhoorn wrote: > > > Zie veel packetloss richting het xs4all netwerk en ook sites en services > > doen niet veel. > > > > Ik heb wel een announce gezien in xs4all.announce, last van attacks op de > > RBL servers ? > > Gezien het feit dat de ircdoos helemaal pleitos is, al een tijdje (en de > rest er nog wel) lijkt het me een attack op ircnet. En dat is weer niet > geheel onvoorstelbaar... We hebben de afgelopen dagen verschillende floods ontvangen, irc zat er vandaag niet bij ;-) Hoogste synflood rate die we gezien hebben was zo'n 1,3 miljoen pps. Door de laatste flood raakte een van de Juniper dozen in de stress waardoor er tussen 2 lokaties vanmiddag packetloss ontstond.

1 0

xs4all problemen ?
by alex＠bit.nl 21 Oct '03

21 Oct '03

On Tue, 21 Oct 2003, Arjan wrote: > Gezien het feit dat de ircdoos helemaal pleitos is, al een tijdje (en de > rest er nog wel) lijkt het me een attack op ircnet. En dat is weer niet > geheel onvoorstelbaar... Dat hebben ze op een van onze IRC dozen ook geprobeerd. Die zitten alleen in een /24 pi waarvan we de announcements naar onze transit providers hebben ingetrokken. Een uurtje later zijn we ze weer gaan announcen. -- Met vriendelijke groet, Alex Bik, BIT BV AB2298-RIPE

1 0

xs4all problemen ?
by raymond＠prolocation.net 21 Oct '03

21 Oct '03

Hi! Iemand van xs4all levend ? Erik ? Zie veel packetloss richting het xs4all netwerk en ook sites en services doen niet veel. Ik heb wel een announce gezien in xs4all.announce, last van attacks op de RBL servers ? Bye. Raymond.

1 0