如何通过iptables设置来缓解DDoS攻击和CC攻击?

最近这几年,互联网高速发展的同时,网络安全威胁也日益严重。很多互联网公司经常会遭到各种各样的网络攻击,特别是DDOS攻击最让互联网企业感到头痛,因为DDOS攻击会直接造成服务器崩溃,导致用户无法访问,业务直接中断。而且DDOS攻击是利用TCP协议漏洞,根本无法完全避免,只能被动做好防御,防御的成本还比较高。今天墨者安全通过多年的一些高防经验,来分享一下当站点受到DDoS攻击和CC攻击时,如何通过iptables设置来缓解。

防范DDOS攻击脚本

#防止SYN攻击 轻量级预防

iptables -N syn-flood

iptables -A INPUT -p tcp --syn -j syn-flood

iptables -I syn-flood -p tcp -m limit --limit 3/s --limit-burst 6 -j RETURN

iptables -A syn-flood -j REJECT

#防止DOS太多连接进来,可以允许外网网卡每个IP最多15个初始连接,超过的丢弃

iptables -A INPUT -i eth0 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP

iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

#用Iptables抵御DDOS (参数与上相同)

iptables -A INPUT -p tcp --syn -m limit --limit 12/s --limit-burst 24 -j ACCEPT

iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT


防范CC攻击设置

1、系统要求

LINUX 内核版本:2.6.9-42ELsmp或2.6.9-55ELsmp(其它内核版本需要重新编译内核,比较麻烦,但是也是可以实现的)。

iptables版本:1.3.7

2、配置相应的iptables规则

示例如下:

(1)控制单个IP的最大并发连接数

iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j REJECT #允许单个IP的最大连接数为 30 。

#默认iptables模块不包含connlimit,需要自己单独编译加载

(2)控制单个IP在一定的时间(比如60秒)内允许新建立的连接数

iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --update --seconds 60 --hitcount 30 -j REJECT iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --set -j ACCEPT

#单个IP在60秒内只允许最多新建30个连接。

通过上述iptables设置,可以在网站服务器遭到CC攻击时,自动屏蔽IP地址,缓解CC攻击对服务器造成的影响。

原创声明,本文系作者授权云+社区发表,未经许可,不得转载。

如有侵权,请联系 yunjia_community@tencent.com 删除。

编辑于

我来说两句

0 条评论
登录 后参与评论

相关文章

来自专栏FreeBuf

深度报告 | 揭秘朝鲜黑客组织Lazarus Group对加密货币的窃取手段

当前,世界各地安全公司、执法机关和情报机构都把Lazarus Group归因于朝鲜的国家支持黑客组织,随着Lazarus Group自身网络攻击工具的进化发展...

41090
来自专栏FreeBuf

谁蹭了我的WiFi?浅谈家用无线路由器攻防

家用无线路由器作为家庭里不可或缺的网络设备,在给普通人带来极大便利的同时,也给处于互联网时代的我们带来了很多安全隐患,本文将针对普通家用无线路由器的常见攻击过程...

39870
来自专栏Java后端技术

让U盘永不中毒的解决办法

  在学校上课的时候,有个老师很潇洒的拿着一个U盘就来教室上课了。然后快上课的时候在电脑上准备播放课件。注意,这一瞬间其妙的事情发生了,课件因为他的U盘中病毒了...

12020
来自专栏FreeBuf

让你家的楼宇门变聪明:基于树莓派实现任意终端控制楼宇门

原创作者:豆豆青春不喂狗 一、背景 寒冷冬天的早晨,你躺在被窝里,门铃响了,你需要立刻起床穿衣服,然后去开门。现在,树莓派能帮你获得一个从容穿衣的时间。 二、摘...

39790
来自专栏企鹅号快讯

黑客界在平常交流的一些专业术语介绍

每天都有人问我,黑客是什么,黑客有什么术语,或者遇到黑客,我应该怎么做,我在这里也给感兴趣的朋友普及一点小知识,黑客有很多的术语,下面我会给大家介绍黑客经常用到...

217100
来自专栏伪君子的梦呓

安装国外版Adobe Flash Player

使用 TIM 或在线看电影的时候需用到 Flash Player ,拿版本 30.0.0.134 做实验,这个版本是国内下载版本,在控制面板找到卸载程序里可以看...

5.7K20
来自专栏FreeBuf

远控木马上演白利用偷天神技:揭秘假破解工具背后的盗刷暗流

如今,不少人为了省钱,会尝试各种免费的方法获取网盘或视频播放器的会员权限,网上也流传着不少“网盘不限速神器”或者“播放器VIP破解工具”。不过,这些“神器”既不...

38550
来自专栏互联网开发者交流社区

HTML+CSS-淘宝网页

24440
来自专栏区块链

2018年:8个最好的WiFi黑客软件和分析工具

2017年是黑客猖狂的一年,各种勒索病毒层出不穷,大规模数据泄露频发。 安全分析和渗透测试是创建任何类型的安全网络不可或缺的组成部分,这其中的一个必备工具就是W...

58980
来自专栏沈唁志

整合ThinkPHP功能系列之微信企业付款至用户零钱银行卡

65540

扫码关注云+社区

领取腾讯云代金券