DDOSのような攻撃からベーキングノードを保護する方法は？

Question

DDOSのような攻撃からベーキングノードを保護する方法は？

- 19
- 373 2019-01-31
tezos-nodeとbakerが使用するポートとプロトコルを知りたいので、ファイアウォール設定でそれらのポートとプロトコルのみを有効にして、サーバーへのDDos攻撃を防ぐことができます.

I want to know what ports and protocols tezos-node and baker uses so that i can enable only those ports and protocols in my firewall setting to prevent any DDos attack on my server.

node setup baking-node

3 回答

投票

- 11
- 2019-02-01
@xtzbakerは、ノードが使用するポートにスポットを当てています.ベーキングノードのDDoSを防止することも、ベーキングの最も一般的なセットアップが、信頼できるパブリックノードを持つプライベートベーキングノードを持つことである理由の1つです.

基本的に、パン屋と承認者が使用する単一のノードがあり、プライベートモード.プライベートモードでは、他のユーザーからの接続が禁止され、ノードの存在をピアにブロードキャストしないようにピアに指示されます.プライベートノードを本当にプライベートに保つには、プライベートノードのピアが信頼されてプライベートノードのIPが公開されないようにする必要があります.これは、プライベートノードが信頼できるノードに明示的なピアを設定する必要があることを意味します(ノードにネットワーク上で使用可能なピアを選択させるだけではありません).

ノードが信頼できるとはどういう意味ですか?まあ、それはあなたの受け入れられたリスクのレベルに応じて人から人へと異なります.ただし、ノードを本当に信頼したい場合、唯一の方法はノードを自分で所有することです.とは言うものの、多くのパン屋は、財団のパブリックノードが十分に信頼できると認めています.

@xtzbaker is spot on with the ports that the node uses. Preventing DDoS for the baking node is also one of the reasons that the most common setup for baking is to have a private baking node with trusted public nodes.

Basically, we have a single node that the baker and endorser uses and it's configured to be on private mode. Private mode will disallow connections from others and also tell its peers to not broadcast the node's existence to their peers. In order to truly keep our private node private, the private node's peers must be trusted to not reveal your private node's ip. This means your private node needs to set explicit peers to trusted nodes(as opposed to just let the node choose any available peers on the network).

What does it mean for a node to be trustworthy? Well, it varies from person to person depending on your accepted level of risk. But if you want to truly trust a node, the only way is to own them yourself. That said, many bakers accept the foundation public nodes to be trustworthy enough.
- セットアップに関する情報をありがとう.Dockerイメージを使用してこのセットを実行する方法を説明できますか?mainnet.shファイルにすべてのデフォルト構成があるようですが、説明されているようにセットアップを行うためにそれらの構成を変更するにはどうすればよいですか?Dockerイメージを使用して行われたセットアップに関する情報はあまりありません.
  
  Thanks for the information about the setup. Can you explain how to do this set using docker images. I see that mainnet.sh file has all the default configurations but how to modify those configuration to have a setup as explained by you? There is not much information regarding setup done using docker images.
  - 0
  - 2019-02-03
  - Sachin Tomar
- 私は現在、プライベートノードのベイクにdockerを使用しません.特に、元帳を使用する理由があります.ただし、フロントエンドパブリックノードの場合、Dockerコンテナーを使用すると保守がはるかに簡単になります.コア開発チームは積極的にそれらを維持し、メインネットブランチの最新のものからせいぜい数分遅れています.[mainnet.sh](https://gitlab.com/tezos/tezos/blob/mainnet/scripts/alphanet.sh)を使用することもできますが、カスタムdocker-composeセットアップを実行する方がうまくいくことがわかりました.[これが使用します](https://gist.github.com/sirneb/8419e41aea4f2d5770555301006cea20).
  
  I currently wouldn't use docker for the baking private node, specifically reasons with using a ledger. But for frontend public nodes, using docker containers is much easier to maintain. The core dev team actively maintains them, at most only minutes behind latest on the mainnet branch. You could use the [mainnet.sh](https://gitlab.com/tezos/tezos/blob/mainnet/scripts/alphanet.sh), but I find running a custom docker-compose setup works better, [this is what I use](https://gist.github.com/sirneb/8419e41aea4f2d5770555301006cea20).
  - 1
  - 2019-02-04
  - Frank
- 5
- 2019-02-04
ノードのインターネット接続にOctoVPN https://などのDDoS保護VPNを経由させることで、セキュリティの層を追加することもできます.octovpn.com

You could also add an extra layer of security by having your node's internet connection go through a DDoS protected VPN, like OctoVPN https://octovpn.com
- 同意します.また、問題はDDOSからの保護に関するものであり、ポートの問題ではないと思います.
  
  Agree, I also think that the question was about protecting against DDOS and not so much the question of ports:
  - 0
  - 2019-02-04
  - jdsika
- https://www.cloudflare.com/ddos/
  
  https://www.cloudflare.com/ddos/
  - 0
  - 2019-02-04
  - jdsika

xtzbaker · Accepted Answer · 2019-01-31

20

2019-01-31

9732はP2P接続のデフォルトのポートであり、ノードの起動時に--net-addr=ADDR:PORTで上書きできます
8732はRPC接続のデフォルトのポートであり、--rpc-addr=ADDR:PORT
すべてのネットワークはTCPを使用します.

iptablesを使用する場合、特にtezosには以下のルールで十分です.

構成に応じて、DNS、NTP、DHCPなどの他の非tezosネットワークサービスを許可する必要があることに注意してください.

 # Allow Tezos RPC
iptables -A INPUT -p tcp --dport 8732 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 8732 -m conntrack --ctstate ESTABLISHED -j ACCEPT

# Allow Tezos P2P connections
iptables -A INPUT -p tcp --dport 9732 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --dport 9732 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 9732 -m conntrack --ctstate ESTABLISHED -j ACCEPT

9732 is the default port for P2P connections, can be overridden with --net-addr=ADDR:PORT when starting the node
8732 is the default port for RPC connections, can be overridden with --rpc-addr=ADDR:PORT
All networking uses TCP.

If using iptables the below rules should suffice for tezos specifically.

Be aware you will need to allow other non tezos network services like DNS,NTP,DHCP depending on your configuration.

# Allow Tezos RPC
iptables -A INPUT -p tcp --dport 8732 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 8732 -m conntrack --ctstate ESTABLISHED -j ACCEPT

# Allow Tezos P2P connections
iptables -A INPUT -p tcp --dport 9732 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --dport 9732 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 9732 -m conntrack --ctstate ESTABLISHED -j ACCEPT

しかし、未使用のポートを閉じることは、パン屋をDDOSから保護しませんか?これを行う標準的な方法は、(プライベートノード構成で)ベイカーを多数のパブリックノードの背後に隠すことです.そうすることは、ベイカーを直接ターゲットにすることができず、アクティブなDDOSがある場合はパブリックノードをスワップアウトできることを意味します.

But closing unused ports won't safeguard a baker from a DDOS, will it? The standard way of doing that is to hide a baker (in private node config) behind a number of public nodes. Doing so means a baker can't be directly targeted and public nodes can be swapped out if there is an active DDOS.
- 3
- 2019-02-01
- latte_jed
あなたは正しいです、私はOPが実際に答えられるべき2つの質問を持っていると思います-1つはDDOSとTezosポートに関するものです.それに応じて、質問は2つに分割する必要があります.

You are correct, I guess the OP actually has 2 questions to be answered - one on DDOS and one on Tezos ports. The question ought to be split in two accordingly.
- 1
- 2019-02-02
- xtzbaker
ノードがプライベートモードの場合、ポート9732での着信接続を許可せず、関連する確立された着信接続のみを許可することもできます.プライベートノードはとにかく信頼できるノードへの接続を確立するだけで、他の信頼できないノードは接続できません.

When a node is in private mode, it is also possible to not allow incoming connections on port 9732 and to only allow related and established incoming connections. The private node will only establish connections to trusted nodes anyway and other, non-trusted nodes will not be able to connect.
- 0
- 2019-02-04
- cryptodad