internet & fixe ma connexion Voir tous les sujets internet & fixe

[#1]

Bonjour,

il semblerait qu'il n'y ai pas de protection contre les attaques DDoS vers les accès Internet Orange ADSL (aucune idée de ce qu'il en est pour la fibre)

Déjà juste un rappel, de nos jours, il est très simple de lancer une attaque DDoS pour quelques euros, c'est principalement les gamins sur des jeux comme Minecraft qui peuvent s'amuser à DDoS n'importe qui (et se prendre pour un "hacker" avec un "booter" payé par papa/maman, sans savoir ne serait-ce ce qu'est un paquet), j'en ai déjà fait les frais plusieurs fois

J'ai une adresse IP fixe et héberge des serveurs chez moi (l'option du "utilise un VPN" est donc à omettre), le truc c'est que si je me prends un DoS/DDoS ayant pour but de saturer ma bande passante, je ne peux absolument rien faire et suit donc bloqué, sachant que mon IP est fixe et que seul Orange peut nettoyer le traffic malveillant (j'insiste sur le fait que si l'attaque sature la bande passante, je ne peux RIEN faire, c'est Orange qui doit filtrer le traffic en amont)

Je ne comprends pas qu'en 2018 il n'y ai pas de protection contre les attaques DDoS (même pas pour les personnes qui payent 18€/mois une IP fixe ), c'est prévu un jour qu'il y ai ce genre de protection ? Ou alors est-ce qu'il y a une option qui permette de bénéficier d'une protection ? J'insiste sur le fait qu'en 2018 tout le monde devrait être couvert par une protection anti-DDoS, plein de gamins peuvent s'amuser à lancer des attaques à tout va pour quelques euros.

[#2]

http://image.noelshack.com/fichiers/2018/06/5/1518170096-capture.png

Qu'est-ce que je suis censé faire ?

Je me mange un énième DDoS (ici des paquets echo ICMPv4 en masse via plusieurs IP) et ma connexion est incapable de supporter ça, sachant qu'en plus j'ai une IP fixe (non préférentielle)

[#3]

Bonjour,

Il n'y a pas de solution miracle contre une attaque DDOS. Effectivenemt, n'importe quel blaireau, moyennant une poignée de figues peut en lancer une. Oh, pas une attaque d'envergure qui mettra le Net en vrac, mais largement de quoi pourrir la vie du particulier que tu es.

Les différents articles vont tous te parler de "risk mitigation" plus que de "risk elimination". En clair, personne n'est à l'abri. Sauf que les grosses boîtes ont un budget sécurité que tu n'as pas...

As-tu essayé de te rapprocher de cloudflare ? Ils ont une offre gratuite pour les particuliers (blog, petit site web...).

Ca mange pas de pain d'essayer.

[#4]

Bonjour

Il faut éviter les IP fixes et compenser en utilisant un DNS Dynamique.

Tant que tu ne donnes pas à tes propres gamins ton URL dynamique tu ne seras plu "DDoS-é"  (Excuse le vilain néologisme).

Il est possible de forcer le changement d'IP de l'interface WAN de ta box en lançant un reboot par l'interface d'administration. Le reboot électrique conserve l'adresse IP.

Je ne l'ai pas expérimenté, mais je l'ai lu dans un sujet.

A tout hasard, un tuto qui traite de l'accès via DNS Dynamique pour une box avec des adresses variables.

Chez moi c'est comme ça que ma box est configurée.

Cordialement

PhilDur

[#5]

Merci pour vos réponses.

cocobolo -> effectivement Cloudflare peut être utile dans le cas où on héberge un serveur HTTP/HTTPS, en revanche moi j'héberge d'autres services tels que des serveurs ftp/ssh/smtp/imap/etc, chose que Cloudflare ne peut protéger.

Pour ce qui est d'un budget nécessaire, je ne sais pas si c'est nécessaire en 2018 d'en avoir un... des FAI tels que Nerim incluent par défaut un anti-DDoS sur leurs offres d'accès Internet, et OVH Telecom prévoit d'inclure un anti-DDoS sur leurs offres xDSL (offres accessibles aux clients particuliers)

PhilDur -> le fait que mon IP soit fixe est justifié, et ce n'est pas une IP préférentielle mais bien une IP fixe que j'ai pris en option, un reboot via la web GUI ou un reboot électrique ne changera pas l'IP, et c'est volontaire.

Je cite quelque chose que j'avais dit dans un autre sujet :

« Dans mon cas il m'est nécessaire d'avoir une IP fixe car j'héberge un serveur mail (entre autre) derrière ma connexion Orange, et afin qu'il garde une réputation correcte il me faut bien une IP fixe (les principaux hébergeurs tels que Outlook/GMail se basent sur la réputation de l'IP et sa durée de vie pour savoir si des mails entrants vont en spam ou non), j'ai aussi besoin d'une IP fixe pour pouvoir me whitelister sur des accès à distance vers des serveurs divers (SSH/FTP), l'option d'avoir un domaine dynamique ne m'aurait donc apporté aucune aide sur ces sujets. »

[#6]

---

a écrit :

PhilDur -> le fait que mon IP soit fixe est justifié, et ce n'est pas une IP préférentielle mais bien une IP fixe que j'ai pris en option, un reboot via la web GUI ou un reboot électrique ne changera pas l'IP, et c'est volontaire.

---

J'avais bien lu ça ainsi que le soucis de "réputation".

Mais à mon humble avis, sans l'option payante et en utilisant No-Ip (ou équivalent) tu serais bien plus peinarde.

La réputation d'une IP fixe risque d'être vite dégradée si tu es régulièrement DDoS-ée.

C'est ton choix, c'est toi qui paye.

J'ai vu dans ton sujet "IPv6" que tu étais en ADSL.

J'attire ton attention sur le faible débit d'un serveur sur ADSL, tu peux espérer un max de 2 Mb/s sur l'upload.

En VDSL, le max de l'Upload est au dessus de 5 Mb/s.

Quelle est ta longueur de ligne ?

Cordialement

PhilDur

[#7]

En général il me semble que la réputation d'une IP se base sur si elle est listée sur des sites d'abuse du style "abuseipdb", quand j'étais en IP dynamique j'avais parfois d'attribué des IP blacklistées sur certains sites.

Le problème avec un serveur mail c'est que l'IP doit être obligatoirement fixe, des sites comme Outlook se basent sur la durée de vie de l'IP des serveurs mails pour savoir si un mail entrant part en spam ou non.

Et oui je suis au courant que le débit en ADSL est pauvre, j'ai 12Mbps descendants et 1Mbps montant, ma ligne est à 2.8km du NRA, je fais avec. Je préfère m'auto-héberger que d'héberger mes données sur des hébergeurs style OVH où je n'ai pas un contrôle total sur ce qu'il se passe avec mes données.

[#8 · Accepted solution]

Bon visiblement si j'ai bien compris, il n'y a pas d'anti-DDoS intégré pour les offres Orange en tant que particulier, un conseiller d'Orange sur Twitter m'a redirigé ici vu qu'apparemment les réponses sont vraies. Plutôt dommage sachant que des FAI comme Bouygues Telecom, Nerim et bientôt OVH Telecom incluent un anti-DDoS sur leurs offres Internet, j'imagine que je vais devoir (encore) changer de FAI pour pouvoir éviter de me faire harceler par des gamins à coups de DDoS.

[#9]

---

@VALOU-28a écrit :

... Plutôt dommage sachant que des FAI comme Bouygues Telecom, Nerim et bientôt OVH Telecom incluent un anti-DDoS sur leurs offres Internet,...

---

Tu as une référence sur cette information, ça m'intéresserait de lire ce qu'ils promettent.

Edit1 : Je n'ai rien trouvé de tel chez Bouygues

Edit2 : Trouvé sur les offres Nerim, mais le tarif n'apparait pas

Edit3 : ça n'apparait pas (encore) chez OVH

Peut-on comparer des offres Pro avec des offres grand public ? il me semble est clair que pour héberger des services chez soi, les offres PRO sont certainement mieux ficelées.

Merci d'avance

PhilDur

[#10]

Pour limiter les effets de ddos sur mon arrivée fibre, mon firewall (écrit avec mes petites mains) joue en fonction des protocoles sur :

-le nombre de connexions par source,

-le nombre de source,

-le nombre d'etats par source,

-le taux de connexion par source (ie. x connexions pendant y secondes au maxi)

quand cela sort du cadre autorisé : sur le long terme le firewall mets l'IP en infraction dans une liste de rejet avec laquelle il fait ce que je veux. Puis je prends vraiment mon temps pour la sortir de la liste !

Et là... au prochain paquet recu avant même de filtrer intelligemment, c'est fait bourrin et

-soit je "drop" le packet entrant et l'envoyeur "peut croire à un serveur défunt" ; selon theorie que "si un fauve m'attaque je ne bouge plus et fait le mort",

-soit je le "reject" avec une reponse ICMP en retour a l'envoyeur qui commence a manger son debit a chaque paquet recu comme si un routeur sur le trajet ne voyait pas de destinataire,

-soit si je suis joueur je regle un taux statistique sur la source genre 15% des packets passent en provenant d'une IP donnée ad-vitam.

Après, bien sûr, si l'attaque sature la box et et depasse le debit de la fibre : ca devient plus dur mais jusqu'ici même si ca tousse chez moi  ca continue a passer dans tous les cas avec un petit debit grace la QoS basique d'orange.