您的位置: 新闻资讯 > 行业动态 > 正文

如何通过iptables设置来缓解DDoS攻击和CC攻击?

来源:mozhe 2018-12-11

最近这几年,互联网高速发展的同时,网络安全威胁也日益严重。很多互联网公司经常会遭到各种各样的网络攻击,特别是DDoS攻击最让互联网企业感到头痛,因为DDoS攻击会直接造成服务器奔溃,导致用户无法访问,业务直接中断。而且DDOS攻击是利用TCP协议漏洞,根本无法完全避免,只能被动做好防御,防御的成本还比较高。今天墨者安全通过多年的一些高防经验,来分享一下当站点受到DDoS攻击和CC攻击时,如何通过iptables设置来缓解。

DDoS攻击



防范DDOS攻击脚本
 

#防止SYN攻击 轻量级预防 

iptables -N syn-flood 

iptables -A INPUT -p tcp --syn -j syn-flood 

iptables -I syn-flood -p tcp -m limit --limit 3/s --limit-burst 6 -j RETURN 

iptables -A syn-flood -j REJECT

 

#防止DOS太多连接进来,可以允许外网网卡每个IP最多15个初始连接,超过的丢弃 

iptables -A INPUT -i eth0 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP 

iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

 

#用Iptables抵御DDOS (参数与上相同)

iptables -A INPUT  -p tcp --syn -m limit --limit 12/s --limit-burst 24 -j ACCEPT

iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT



防范CC攻击设置

 

1、系统要求

LINUX 内核版本:2.6.9-42ELsmp或2.6.9-55ELsmp(其它内核版本需要重新编译内核,比较麻烦,但是也是可以实现的)。

iptables版本:1.3.7

 

2、配置相应的iptables规则

示例如下:

(1)控制单个IP的最大并发连接数

iptables -I INPUT -p tcp --dport 80 -m connlimit  --connlimit-above 50 -j REJECT #允许单个IP的最大连接数为 30 。

#默认iptables模块不包含connlimit,需要自己单独编译加载
 

(2)控制单个IP在一定的时间(比如60秒)内允许新建立的连接数

iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --update --seconds 60 --hitcount 30 -j REJECT iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --set -j ACCEPT

#单个IP在60秒内只允许最多新建30个连接。
 

通过上述iptables设置,可以在网站服务器遭到CC攻击时,自动屏蔽IP地址,缓解CC攻击对服务器造成的影响。

热门文章

在线咨询 QQ交谈
X

7x24 小时

免费客服热线

400-0797-119