web-dev-qa-db-ja.com

Azure Ubuntu VM：基本的なDDOS保護には、168.63.129.16：80への接続が必須ですか？

昨日、Azure UbuntuVMでnetstat | grep httpを実行しているときに、疑わしいアクティビティに気づきました。

このような60以上の行がありました：

tcp        0      0 ser:http               hosted-by.blazing:29248 SYN_RECV   
tcp        0      0 ser:http               hosted-by.blazingf:59438 SYN_RECV   
tcp        0      0 ser:http               8.8.8.8:7057 SYN_RECV   
# [SNIP]

これはSYNフラッド攻撃だと思いますが、8.8.8.8の存在を考えると、おそらく何らかのIPスプーフィングですか？ AzureからのDDOS保護はなく、標準のUbuntuVMだけです。私はいくつかのことを試しました：

net.ipv4.tcp_syncookies=1の行/etc/sysctl.confのコメントを外し、sysctl -pを実行しましたが、上記のパケットは続行されました。

サーバーを少しロックダウンするために、私はすでに自分の iptables script を配置しています。このスクリプトを確認しているときに、/var/log/syslogにいくつかの無関係な行があることに気付きました。

INFO Exception processing GoalState-related files: [ProtocolError] 
[Wireserver Exception] [HttpError] [HTTP Failed]
GET http://168.63.129.16/machine/?comp=goalstate -- IOError
timed out -- 6 attempts made

このIPを調査したところ、 Azureのインフラストラクチャの一部 であることがわかったので、先に進んでこれをファイアウォールスクリプトに追加し、ポート80でこのIPへの送信トラフィックを許可しました。

突然、以前のSYNトラフィックが停止しました。

[〜＃〜]更新[〜＃〜]

さて、いくつかの さらなる調査 は、Azureが基本レベルのDDOS保護を提供することを示しています：

基本：Azureプラットフォームの一部として自動的に有効になります。常時オンのトラフィック監視と、一般的なネットワークレベルの攻撃のリアルタイムの軽減により、Microsoftのオンラインサービスで利用されているのと同じ防御が提供されます。 Azureのグローバルネットワークの全体規模を使用して、リージョン間で攻撃トラフィックを分散および軽減できます。 IPv4およびIPv6AzureパブリックIPアドレスに保護が提供されます。

知っている人のために、今私の質問を推測します：発信HTTPトラフィックを168.63.129.16に許可することは、この保護の重要な部分であり、私が見た動作を説明しますか？

ubuntuazureddossyn
1
v25

168.63.129.16は、VMが、監視、ゲストエージェントのハートビート、ロードバランサープローブなどの内部Azureリソースと通信し、プラットフォームにVM =準備完了状態。そのIPを使用して通信するすべてのものの明確なリストを見つけることができませんでしたが、アクセスを許可しないとAzureでのエクスペリエンスが低下するため、そうすることをお勧めします。

DDOS保護に必要かどうかにかかわらず、ほとんどのDDOS保護はVMに到達する前にネットワークレベルで行われるため、おそらく必要ではないと思いますが、そのルートを介して送信される監視データの一部は、中古。

3
Sam Cogan