[patrikweb]

Nästan alla brandväggar bygger på liknande, att betala pengar för en brandvägg är ju endast för att få något som blinkar sätt och kanske ett häftigt GUI.

Visst du får ju hårdvaran med, fast ska man se kostnaden så är det inte värt.

Men till din fråga om DDoS, hur ser trafiken ut?

Är det endast SYN paket eller skapar dom en full connection?

Viktigaste är kolla hur paketet ser ut i innehåll, skickar dom några headar?

Normalt så skickar dom aldrig några useragent eller liknande vilket gör det lätt att identifera och droppa.

Så normalt blir paketstorleken mycket lägre än legtima anslutningar vilket gör att du skulle kunnat skapa ett filter som droppar paket som är under en viss storlek mot port 80. Annars får du hitta ett mönster och sedan skapa ett L7 filter för matcha och droppa.