daffx

OSOBO SPECJALNA ZAWRĘ KLUCZE Z POPRZEDNICH MOICH WIADOMOŚCI ŻEBYŚ ZROZUMIAŁ. MAM ATAK TCP NA PUBLICZNYCH ADRESACH IP NA KTÓRYCH STOJĄ SERWERY GIER, I MAM NA NICH DOZWOLONY RUCH CHCĘ ZABLOKOWAĆ PRZYCHODZĄCY RUCH TCP NA TYCH IP Z POZIOMU FIREWALLA OVH CHCĘ PRZEKIEROWAĆ CAŁY RUCH WYCHODZĄCY Z OKREŚLONYCH ADRESÓW IP (WCZEŚNIEJ WYMIENIONE SERWERY GIER) PRZEZ KONKRETNY NOWY ADRES IP ŻEBY ATAKUJĄCY GO NIE ZNAŁ I NA NIM POZWOLIĆ NA RUCH TCP

@Hostido.plpsst, widziałem że jesteście tu na forum więc. Pinging xxx [185.110.51.251] with 32 bytes of data: Request timed out. Request timed out. Request timed out. Request timed out.

Czy ty jesteś człowieku upośledzony? przepraszam za słowa, ale piszę ci gamoniu, że mam wysycane łącze przez ataki tcp i chce przekierować ruch na inny adres żeby atakujący go nie znał a ty wymyślasz głupoty Psst, dodałem tam wcześniej, że chodzi o ruch wychodzący. Zapomnij o tym temacie bo jesteś zbyt specyficzny na niego.

Tak żeby pokazać, że osoba która próbowała zabłysnąć nie zna się na tym o czym pisze to zostawię tylko to. Serwer gry działa z włączoną tą opcją jak i wyłączoną, włączona opcja powoduje to co chcę osiągnąć ale chcę zrobić snat na inny adres ip niż przypisany do kontenera. 12 doświadczenia chyba w minecraft

Dziękuję, że kończysz udzielanie się w temacie bo albo nie zrozumiałeś co chce osiągnąć albo nie masz pojęcia o czym piszesz.

Najwidoczniej wiedza lepiej skoro na hsotingach takich jak pukawka.pl serwer korzysta z IP głównego maszyny a udp binduje się na innym. Nie masz pojęcia o temacie to nie wypowiadaj się Ja również mogę pozwolić na ruch TCP z głównego IP maszyny ale chcę tego uniknąć w razie leaku nie będę mógł go zmienić. Chce mieć możliwość zmiany takiego ip w dowolnym momencie. I tak to działa na innym IP TCP Szukam kogoś kto realnie podejdzie do tematu a nie będzie udawał że podjadał rozumy przez 12 lat a nie ma pojęcia o niczym. Jeszcze raz, czego potrzebuje? Przekierować ruch TCP z podanych adresów IP + docker przez dodatkowe IP znane tylko mi a ruch TCP na IP serwerów gier zablokować.

Znam ludzi którzy korzystają z podobnej konfiguracji jak przy tej z kill-all tylko oni mają serwery na hoscie a nie w dockerze, bez problemu to działa i nie wydaje mi się żeby stosowali więcej 'hackow'

Bez problemu z tego co się dowiedziałem można puścić pakiety TCP z innego adresu IP niż będzie on działał na udp

Nie jest potrzebne takie samo TCP adresy jak udp

Podczas startu serwera łączy się on przez TCP z serwerami steam, sprawdza aktualizacje i jest jakiś ruch http. Potem okresowo sprawdza coś po TCP

Wyszukiwarka steam to najmniejszy problem, jest zapchana fake serverami więc nie jest dla mnie ważna.

Nie jestem tak zaprawiony w boju z dockerem żeby to działało. Udało mi się zrobić żeby ruch na hoscie przechodził z dodatkowego IP ale nie w kontenerach.

Blokuje pozostały ruch + ovh filtruje udp. Problemem jest tylko publicznie dostępny adres dla TCP

Laguje wszystko i SSH zrywa połączenie do momentu aż atak ustanie albo atakujący zmniejszy jego moc. Wszystkie pakiety jakie dostaje mają flagi ack+psh czyli znany bypass dla ovh. Mam gdzieś dumpy z serwera gdzie miałem jeszcze 1Gbit łącze i on eksplodował za każdym razem, aktualnie mam większe ale nie 1 cyfrowe, nie będę pisał dokładnie bo każdy mnie zna z tego środowiska po nicku i atakujący ma tyle mocy żeby wywalić cały serwer albo mocno obciążyć łącze żeby były lossy.

Pakiety które dostają nie mają flagi syn + co mi da zablokowanie odpowiedzi jeżeli wysycany jest ruch przychodzący i to często ponad 20x

Muszę to zrobić po stronie ovh, ataki są często większe niż łącze serwera.

Dobra napiszę Ci to bo dalej nie rozumiesz Poczytaj o TCP ack+psh i jakim jest problemem w ovh albo o metodzie przykładowo kill-all. https://gitlab.com/cryptio/ddos-research/-/blob/master/attacks/kill-all.md To jest przykład o którym piszesz, i zalecane jest przekierowanie ruchu TCP przez inne IP. Nie mogę zablokować ruchu TCP bo serwery gier się nie włącza ani pluginy na nich nie będą mogły wykonać żadnego połączenia TCP Ack+psh ustawia połączenie jako established co wykorzystuje właśnie luke którą trzeba mieć na ovh żeby Valve mogło się połączyć z serwerem gry (TCP established all - ovh nie sprawdza czy połączenie zostało faktycznie wcześniej nawiązane prawidłowo) Chce tą regułę usunąć a pozwolić serwerowi gry i Valve na komunikację przez inny adres IP którego atakujący nie będzie znał.

W takim celu że atakujący próbuje wysycić łacze całego serwera poprzez atak TCP a+p a żeby ovh pozwolił na ruch TCP muszę dać TCP established all, czyli wystarczy, że atakujący wyśle połączenie na losowy port TCP który wymusi przyjęcie go. Valve odpowiada na losowym porcie więc nie można tego zrobić inaczej. ASN Valve jest są duże żeby zmieścić to w firewallu ovh (20 reguł). Pozostaje tylko przekierowanie wychodzącego TCP i zablokowanie go na publicznym IP + Różne pluginy na serwerach gier mogą wykonywać połączenia TCP np http

Jeżeli zablokuje ruch TCP w firewallu ovh? Szanowny Panie podstawy znajomości firewalli ... Jeżeli nie znasz się po 12 latach jakich wspomniałeś wyżej to proszę Cię nie wypowiadaj się w moim temacie, dzięki!

Mylisz się, komunikacja z Valve leci też przez TCP. Jeżeli zablokuje TCP to Valve nie będzie mogło odpowiedzieć

Nie chodzi o atak aplikacyjny czyli ruch udp, chodzi o przekierowanie ruchu wychodzącego TCP przez znany tylko mi adres IP żeby atakujący nie znali tego IP i nie mogli przeprowadzać ataku tcp a+p (kto wie ten wie, nie będę pisał całości bo dzieci będą się bawić) Docelowo chce ograniczyć cały ruch dla TCP dla IP serwerów gier i pozwolić na komunikację serwerów przez ten dodatkowy adres, gracze nie muszą mieć dostępu do TCP tylko serwer

Gry Valve zazwyczaj są po UDP ale TCP jest wykorzystywane do komunikacji z master serverem i pluginy korzystają np z http itd.

Cześć, Z uwagi na ataki ddos które wykorzystują podatność firewalla ovh (tcp ack+psh) muszę przekierować ruch TCP z kontenerów docker (serwery gier - Valve) na nowy adres ip który będzie ukryty i będzie pozwalał na połączenia TCP, na ip serwerów gier chcę docelowo zablokować cały ruch TCP i niech będzie on kierowany przez ten dodatkowy adres ip. Jeżeli da się coś takiego wykonać lub ktoś już to robił i wie, że będzie to działało to potrzebuję osoby która jest w stanie to wykonać Serwery gier działają na kilku adresach ip jako osobne kontenery docker w bridge network. Najlepiej jeżeli ktoś miał już styczność z panelem Pterodactyl i Wings.

Nie dostałem bana na IP tylko ustawili zbyt agresywne progi dla lsrecaptcha (po ataku, przed atakiem serwer www padł lub był przeciążony) bo nie mogłem dostać się do niego nawet z innego adresu IP.

Dodatkowo wymuszają LSRecaptcha globalnie, więc jakiś atak ddos? Bo nie da się tego wyłączyć dla danej domeny co w moim przypadku uniemożliwia zewnętrzne odwołania do pewnych stron.