Re: TPSA władcą internetu (blokada portu 25) - moja korekta

Dnia 09.12.2009 Wojciech Puchar <wojtek@wojtek.tensor.gdynia.pl> napisał/a:

>> Nie rozumiem, dlaczego tylko 1k stanów per IP prywatne? Userzy z P2P
>> spokojnie robią więcej jak się rozpędzą.
>>
> słusznie źle napisałem.
>
> co do praktyki - ile tego jest w praktyce ŚREDNIO - napisałem w innym
> poście.
>
> W każdym razie to nie wielkość tabel a ruch jest ograniczeniem.

Słuchaj, ale przecież tak bardzo boli Cię ingerencja w warstwy ponad IP,
tak bardzo akcentujesz, że ISP to ma tylko przesłać pakiety z A do B
i nie wnikać, że naprawdę nie rozumiem, czemu chcesz ograniczać ludziom
liczbę jednoczesnych połączeń. ;)

Jak Ci np. wychodzi z BRAS-a 50k aktywnych użyszkodników, generujących
np. do 10k stanów każdy i 1kpps, to pesymistycznie powinienieś być
gotów do przewalenia 50Mpps i mieć ze 75GB pamięci jądra na tablice NAT-a.

Oczywiście, średnio tyle nie leci ale wprowadzasz kolejny poziom
overbookingu, na liczbę połączeń. ;) Do tego denerwujesz userów
używających protokołów nie lubiących NAT-a, utrudniasz zarządzanie,
potencjalnie zwiększasz awaryjność i jesteś bardziej podatny na ataki.

I to wszystko, z biednym identem zalanym SYN-floodami celem ochrony
tożsamości spamujących osobników za NAT-em ;) to wg. Ciebie bardziej
koszerne rozwiązanie niż łatwo wyłączalna blokada dst portu TCP/25,
którą wprowadziła TP?..

-- 
Paweł Małachowski