Come proteggere il nodo di cottura da attacchi come DDOS?

Question

Come proteggere il nodo di cottura da attacchi come DDOS?

- 19
- 373 2019-01-31
Voglio sapere qualiportee protocolli utilizzanotezos-nodee bakerin modo dapoter abilitare solo quelleportee protocollinelleimpostazioni delmiofirewallperprevenire qualsiasi attacco DDos sulmio server.

I want to know what ports and protocols tezos-node and baker uses so that i can enable only those ports and protocols in my firewall setting to prevent any DDos attack on my server.

node setup baking-node

3 risposta

voti

- 11
- 2019-02-01
@xtzbaker èperfetto con leporte utilizzate dalnodo. Laprevenzione degli attacchi DDoSperilnodo di cottura è anche uno deimotiviper cui la configurazionepiù comuneper la cottura è di avere unnodo di cotturaprivato connodipubblici affidabili.

Fondamentalmente,abbiamo un singolonodo cheilpanettieree l'endorser utilizzanoed è configuratoperessere su modalitàprivata . Lamodalitàprivatanon consentirà le connessioni da altrie dirà anche ai suoipari dinontrasmettere l'esistenza delnodo ai loropari. Permantenere veramenteprivatoilnostronodoprivato,i peer delnodoprivato devonoessere considerati affidabilipernon rivelare l'ip deltuonodoprivato. Ciò significa cheiltuonodoprivato deveimpostarepeerespliciti sunodifidati (invece di lasciare semplicemente cheilnodo scelga qualsiasipeer disponibile sulla rete).

Cosa significaper unnodoessere affidabile? Ebbene,varia dapersona apersona a seconda del livello di rischio accettato. Ma se vuoi veramentefidarti di unnodo,l'unicomodo èpossederlotu stesso. Detto questo,moltifornai accettano chei nodipubblici dellafondazione siano abbastanza affidabili.

@xtzbaker is spot on with the ports that the node uses. Preventing DDoS for the baking node is also one of the reasons that the most common setup for baking is to have a private baking node with trusted public nodes.

Basically, we have a single node that the baker and endorser uses and it's configured to be on private mode. Private mode will disallow connections from others and also tell its peers to not broadcast the node's existence to their peers. In order to truly keep our private node private, the private node's peers must be trusted to not reveal your private node's ip. This means your private node needs to set explicit peers to trusted nodes(as opposed to just let the node choose any available peers on the network).

What does it mean for a node to be trustworthy? Well, it varies from person to person depending on your accepted level of risk. But if you want to truly trust a node, the only way is to own them yourself. That said, many bakers accept the foundation public nodes to be trustworthy enough.
- fonte
- Frank
- Grazieper leinformazioni sulla configurazione.Puoi spiegare comefare questo set utilizzando leimmagini docker.Vedo cheilfilemainnet.sh hatutte le configurazionipredefinitema comemodificare quelle configurazioniper avere una configurazione come spiegato date?Non ci sonomolteinformazioni sulla configurazioneeseguita utilizzando leimmagini Docker.
  
  Thanks for the information about the setup. Can you explain how to do this set using docker images. I see that mainnet.sh file has all the default configurations but how to modify those configuration to have a setup as explained by you? There is not much information regarding setup done using docker images.
  - 0
  - 2019-02-03
  - Sachin Tomar
- Almomentonon utilizzerei lafinestramobileperilnodoprivato di cottura,in particolarepermotivi con l'utilizzo di un libromastro.Maperi nodipubblicifrontend,l'utilizzo di contenitori Docker èmoltopiùfacile damantenere.Il core devteam limantiene attivamente,almassimo solopochiminuti dietro l'ultimo sul ramomainnet.Potresti usare [mainnet.sh] (https://gitlab.com/tezos/tezos/blob/mainnet/scripts/alphanet.sh),matrovo che l'esecuzione di una configurazione docker-composepersonalizzatafunzionimeglio,[questo è ciò cheIo uso] (https://gist.github.com/sirneb/8419e41aea4f2d5770555301006cea20).
  
  I currently wouldn't use docker for the baking private node, specifically reasons with using a ledger. But for frontend public nodes, using docker containers is much easier to maintain. The core dev team actively maintains them, at most only minutes behind latest on the mainnet branch. You could use the [mainnet.sh](https://gitlab.com/tezos/tezos/blob/mainnet/scripts/alphanet.sh), but I find running a custom docker-compose setup works better, [this is what I use](https://gist.github.com/sirneb/8419e41aea4f2d5770555301006cea20).
  - 1
  - 2019-02-04
  - Frank
- 5
- 2019-02-04
Puoi anche aggiungere un ulteriore livello di sicurezzafacendopassare la connessione Internet deltuonodo attraverso una VPNprotetta da DDoS,come OctoVPN https://octovpn.com

You could also add an extra layer of security by having your node's internet connection go through a DDoS protected VPN, like OctoVPN https://octovpn.com
- D'accordo,penso anche che la domanda riguardasse laprotezione contro DDOSe nontanto la questione deiport:
  
  Agree, I also think that the question was about protecting against DDOS and not so much the question of ports:
  - 0
  - 2019-02-04
  - jdsika
- https://www.cloudflare.com/ddos/
  
  https://www.cloudflare.com/ddos/
  - 0
  - 2019-02-04
  - jdsika

xtzbaker · Accepted Answer · 2019-01-31

20

2019-01-31

9732 è laportapredefinitaper le connessioni P2P,puòessere sovrascritta con --net-addr=ADDR: PORT all'avvio delnodo
8732 è laportapredefinitaper le connessioni RPC,puòessere sovrascritta con --rpc-addr=ADDR:PORT
Tutte le reti utilizzano TCP.

Se si utilizza iptables le regole seguenti dovrebberoessere sufficientipertezosin particolare.

Tienipresente che dovrai consentire altri servizi di retenontezos come DNS,NTP,DHCP a seconda dellatua configurazione.

  # Consenti RPC Tezos
iptables -A INPUT -ptcp --dport 8732 -m conntrack --ctstate NUOVO,COSTITUITO -j ACCETTO
iptables -A OUTPUT -ptcp --sport 8732 -m conntrack --ctstate ESTABLISHED -j ACCETTA

# Consenti le connessioni Tezos P2P
iptables -A INPUT -ptcp --dport 9732 -m conntrack --ctstate NUOVO,COSTITUITO -j ACCETTO
iptables -A OUTPUT -ptcp --dport 9732 -m conntrack --ctstate NUOVO,COSTITUITO -j ACCETTO
iptables -A OUTPUT -ptcp --sport 9732 -m conntrack --ctstate ESTABLISHED -j ACCETTA

9732 is the default port for P2P connections, can be overridden with --net-addr=ADDR:PORT when starting the node
8732 is the default port for RPC connections, can be overridden with --rpc-addr=ADDR:PORT
All networking uses TCP.

If using iptables the below rules should suffice for tezos specifically.

Be aware you will need to allow other non tezos network services like DNS,NTP,DHCP depending on your configuration.

# Allow Tezos RPC
iptables -A INPUT -p tcp --dport 8732 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 8732 -m conntrack --ctstate ESTABLISHED -j ACCEPT

# Allow Tezos P2P connections
iptables -A INPUT -p tcp --dport 9732 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --dport 9732 -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A OUTPUT -p tcp --sport 9732 -m conntrack --ctstate ESTABLISHED -j ACCEPT

Ma chiudere leporteinutilizzatenon salvaguarderà unpanettiere da un DDOS,vero?Ilmodo standardperfarlo ènascondere unbaker (nella configurazione delnodoprivato) dietro unnumero dinodipubblici.Ciò significa che unpanettierenonpuòesserepreso dimira direttamentee inodipubblicipossonoessere scambiati se c'è un DDOS attivo.

But closing unused ports won't safeguard a baker from a DDOS, will it? The standard way of doing that is to hide a baker (in private node config) behind a number of public nodes. Doing so means a baker can't be directly targeted and public nodes can be swapped out if there is an active DDOS.
- 3
- 2019-02-01
- latte_jed
Hai ragione,immagino che l'OP abbiaeffettivamente 2 domande a cui rispondere: una su DDOSe una suporte Tezos.La questione dovrebbeessere divisain due di conseguenza.

You are correct, I guess the OP actually has 2 questions to be answered - one on DDOS and one on Tezos ports. The question ought to be split in two accordingly.
- 1
- 2019-02-02
- xtzbaker
Quando unnodo èin modalitàprivata,è anchepossibilenon consentire connessioniin ingresso sullaporta 9732e consentire solo connessioniin entrata correlatee stabilite.Ilnodoprivato stabilirà comunque connessioni solo anodi affidabilie altrinodinon affidabilinon sarannoin grado di connettersi.

When a node is in private mode, it is also possible to not allow incoming connections on port 9732 and to only allow related and established incoming connections. The private node will only establish connections to trusted nodes anyway and other, non-trusted nodes will not be able to connect.
- 0
- 2019-02-04
- cryptodad