по айпи, чтобы вайтлистнутые айпи брались с бд или редиса или http запросом?
Можно. А почему ты хочешь вайтлистать на уровне хапрокси? Может, в файрвол?
я бы скорее писал их в iptables, и генерил ее на основе БД/редиски/запроса
Не думаю, что это подходит. 70к адресов и они обновляются несколько раз за минуту
ты охренеешь делать запрос к БД на каждую приходящую коннекцию. Memcached/redis немножко облегчит ситуацию, но ИМХО это архитектурно неверное решение. Мои идеи: 1. в БД хранить desired state. Все изменения писать в БД и одновременно пинать сервер "слышь, я там вот такой айпи добавил, ну-ка его сунь в файрвол быро" 2. Если это нереализуемо, то с сервера следить за БД и все изменения отражать в реальном времени.
что делать, работа в компании, где основной и единственный язык вовсе не русский, необратимо разрушает способность говорить без англицизмов
кроме того, такое слово обязано существовать distribution - дистрибуция revolution - революция condition - кондиция tradition - традиция transaction - транзакция connection - коннекция...
Как я понял, можно сделать, чтобы он не при каждом пакете проверял, а только при установлении соединения. А соединений в обычное время может быть одно в секунду или меньше и на пике 50 в секунду, тоже не очень много. Но если проверять http запросом, сервер может просто держать все айпишники в памяти и периодически синхронизировать с бд
то есть ты на каждый SYN пакет делаешь http-запрос. ОК, успехов...
Плохая идея? Или это не сарказм?😂
Я знаю про syn flood атаки если что
В обычный день - нормальная. Но каждый раз, когда ботнет будет делать на тебя nmap, у тебя система будет ложиться кверху лапами
А когда хапрокси решает, какой бекенд выбрать, он разве не на syn это делает?
Может я чего не понимаю...а зачем iptables тогда?
чото я не нашел аналогичную картинку от хапрокси (не алохи), но подозреваю, что там то же самое
То есть после syn ack хапрокси не вмешивается, как надо
TIL, что они еще и seq синхронизируют между клиентом и бэком. Смешно.
Обсуждают сегодня