1000lerce IP Adresi.Bu Nasıl Ddos ?

koruma yazılımını belirtirsen [eğer linux ise] banlama yazılımının çalışma aralığını kısaltabiliriz
apache'nin mysql'in kapandığında kendi kendine düzelmesi [restart] için gerekli yazılımlar kurabiliriz.
ddos değil zombidir

saldırının hangi domaine olduğunu mod_scoreboard ile öğrenirsin

Kullandığınız script varsayılan 150 bağlantı sonrası banlamak üzere geliyor. Çoğu durumda 150 yetersiz kaldığı için biraz daha artırmak gerektiğini düşünüyorum. örneğin fck editor kullanıcılarını banlarsınız. Joomla adminleri gibi.
Size gelen ban maillerinde 74, 69 gibi rakamlar var. Bu script yine varsayılan dakikada bir çalışıp şartları taşıyan ip adreslerini banlıyor. Anladığım kadarıyla sunucuya gelen ziyaretçileri banlıyorsunuz. Normal bir sayfanın yüklenmesinde bile 100 bağlantının aşıldığını düşünürsek.
Özetle ddos sözkonusu değil... diye düşünüyorum.

Yukarıdaki arkadaşa katılıyorum..

79 bağlantı çok yüksek bir rakam değil..
Bana da ziyaretçileri banlıyorsun gibi geldi..

Bahsettiğiniz gibi bunlar iyi niyetli ziyaretçiler olsa eş zamanlı ilk girişte 200er robot sokan , apache yi düşüren ve aynı anda giriş yapan yaklaşık 50 ip yi banlamazdı. Ddos olduğundan hiç şüphem yok.Belirttiğim gibi Pentium D 3.4ghz sunucuyu da siteleri ziyaret eden normal ziyaretçilerin down etmesi pek düşünülemez. Ayrıca sistem şimdiye kadar kendi sitesini ziyaret eden , mesaj atan hiçbir yöneticiyi de banlamadı.

Belki saldırı oluyordur. Ancak yinede sizin ddos koruma scriptiniz, gösterdiğiniz banlanmış örneklere bakarak değerlendirince, uygun yapılandırılmamış gibi.
150 bağlantıya kadar normal kullanıcıları, 180 bağlantıya kadar joomla adminlerini banladığı tecrübe ile sabit.

netstat -an | grep ":80 "| awk '{print $5}'|cut -d":" -f1 | sort |uniq -c | sort -nr | head -20 | grep -v -E "127.0.0.1|0.0.0.0"

Bu durumu gözleyebilirsiniz. Talep edilen her sayfa tek bağlantı değildir. Sayfayı oluşturan her bileşen (örneğin resim) için yeni bir bağlantı oluşturulduğunu değerlendirmek lazım diye düşünüyorum.

Saldırının başladığı zaman 200+ bağlantıda banlanıyordu ki , saldırı başladığında 2defa apache düştü ve düzeltene kadar epey zorladı. sonra daha hassas ayar yapmaya mecbur etti.150bağlantıda serverin aktif kalması daha zor olacaktır.Şu anki değerler normal diye düşünüyorum.

yabancı siten yoksa bence türk ipleri dışındaki diğer ipleri banla. belki almanya vs. yerlerden gelen ziyaretçileri engeller ama en azından saldırı miktarı azalır.

apf de banlarken blok blok banla

apf -d 123.123.120_150.255

512 bağlantı ile istediğin sure tek pc ile dediğin domaine istediğm surede kapatırım.... 512 BAĞLANTIYI HAFİFE ALMA