Что лучше для запрета IP: на уровне брандмауэра (shorewall) или на уровне IIS?

Question

У меня есть спамбот, который любит спамить мои сайты. Я написал на abuse@isp, но он меня проигнорировал.

Атаки всегда происходят с одного и того же IP, и я использовалИИСИПдобавить IP спамера на все мои сайты.

Мне интересно, поскольку я использую Linux-компьютер с shorewall в качестве брандмауэра... может быть, лучше фильтровать на этом уровне?

У кого из них лучшая производительностьсо списком, который может вырасти и стать огромным? IIS выдает спамерам страницу 403 или shorewall сбрасывает соединения?

Answer 1

Если вы получаете много трафика от этих спам-ботов, то вам лучше всего отбросить их на брандмауэре. Отбрасывание на IIS означает дополнительную нагрузку на ваш веб-сервер (даже если он просто обслуживает страницы 403), и если она становится тяжелой, то это может повлиять на производительность для реальных пользователей ваших сайтов.

Я не очень хорошо знаком с Shorewall, но я также ожидаю, что он, вероятно, более эффективен в этой фильтрации, чем IIS.

Answer 2

Shorewall dropping — лучшее, я думаю. Если вы можете получить IP-адреса этих спамеров, вы можете динамически блокировать их с помощью команды "shorewall drop/reject ipaddress". Вы даже можете написать скрипт, который может делать это в реальном времени.

Answer 3

Я согласен с Сэмом. Лучше всего остановить их на периметре вашей сети (на брандмауэре). Представьте себе офисное здание или дом. Хотите ли вы впустить мошенника в свой офис и надеяться, что вы все внутри надежно защитили и ничего не забыли или не упустили, или вы предпочтете остановить их у двери, чтобы они вообще не смогли войти?