firewalld：抵御 DDoS 攻击的防火墙利器(图文)

认识 DDoS 攻击

在当今数字化时代，网络安全面临着诸多挑战，其中 DDoS（Distributed Denial of Service，分布式拒绝服务）攻击犹如一颗毒瘤，严重威胁着网络的正常运行。DDoS 攻击是指攻击者通过控制大量的计算机（这些被控制的计算机通常被称为 “僵尸网络” 或 “傀儡机”），向目标服务器或网络设备发送海量的请求，导致目标系统的资源被耗尽，无法正常处理合法用户的请求，从而使服务陷入瘫痪状态。
其原理可类比为一群恶意攻击者在一家热门商店门口故意制造混乱，阻止真正的顾客进入。攻击者利用各种手段，如发送大量虚假请求，使服务器忙于应对这些虚假请求，而无暇顾及正常用户的需求。例如，SYN Flood 攻击会利用 TCP 三次握手的机制，向目标服务器发送大量伪造的 SYN 包，服务器在等待客户端的 ACK 确认时，会占用大量资源，导致正常的连接请求无法被处理；HTTP Flood 攻击则是模拟大量正常用户不断地向目标网站发送 HTTP 请求，造成目标网站服务器资源耗尽，无法响应正常用户的请求。这些攻击方式就像洪水一样，瞬间淹没目标系统，使其陷入困境。

firewalld 简介

在众多应对 DDoS 攻击的工具中，firewalld 是一款功能强大且应用广泛的防火墙管理工具，尤其是在 CentOS 等 Linux 系统中发挥着重要作用。它作为 Linux 内核中 iptables 防火墙的增强前端，为管理员提供了更为直观和易于使用的界面来管理防火墙规则，同时保持了 iptables 的强大功能。
firewalld 的主要特点之一是其动态更新功能，它允许在运行时添加、删除或修改防火墙规则，而无需重新启动服务，这使得管理员能够根据网络环境的变化及时调整防火墙策略，有效应对各种突发情况。例如，当发现某个特定 IP 地址正在发起恶意攻击时，可以立即通过 firewalld 添加规则来阻止该 IP 地址的访问，而无需中断整个网络服务。
它引入了 “区域” 的概念，将网络接口分配到不同的区域，如 public（公共区域）、private（私有区域）、external（外部区域）等。每个区域都可以有自己独立的防火墙规则，根据区域的特性和安全需求来定制相应的访问策略。比如，public 区域可以设置较为严格的访问限制，只允许特定的服务（如 SSH、HTTP 等）通过，而 internal 区域则可以对内部网络中的设备提供更宽松的访问权限。这种区域管理的方式使得网络安全管理更加精细化和灵活。
firewalld 还支持服务管理，管理员可以为特定的服务（如 SSH、HTTP 等）设置规则，这些服务规则可以应用于单个或多个区域。同时，它也能够对端口和协议进行管理，可以单独开放或关闭特定的端口和协议，从而实现对网络流量的精准控制。此外，它提供了基于网络流量和连接状态的规则管理能力，能够根据流量的特征和连接的状态来制定相应的规则，进一步增强了防火墙的安全性和适应性。

firewalld 防御 DDoS 攻击的策略与配置

限制连接速率

在应对 DDoS 攻击时，限制连接速率是一项重要的策略。firewalld 允许我们针对不同的端口设置接受 TCP SYN 包的频率限制，从而有效地防止单个源 IP 发起大量连接请求，导致服务器资源耗尽。例如，对于 SSH（端口 22）、HTTP（端口 80）和 HTTPS（端口 443）等常见服务端口，我们可以通过以下方式进行配置：

firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 4 -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST SYN -m limit --limit 200/s --limit-burst 600 -j ACCEPT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 5 -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST SYN -j REJECT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 4 -p tcp --dport 80 --tcp-flags SYN,ACK,FIN,RST SYN -m limit --limit 200/s --limit-burst 600 -j ACCEPT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 5 -p tcp --dport 80 --tcp-flags SYN,ACK,FIN,RST SYN -j REJECT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 4 -p tcp --dport 443 --tcp-flags SYN,ACK,FIN,RST SYN -m limit --limit 200/s --limit-burst 600 -j ACCEPT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 5 -p tcp --dport 443 --tcp-flags SYN,ACK,FIN,RST SYN -j REJECT
在上述配置中，--limit 200/s 表示每秒最多接受 200 个 TCP SYN 包，--limit-burst 600 表示当连接请求突发时，最多可接受 600 个连接请求。这样的设置可以在一定程度上抵御 SYN Flood 等攻击，保护服务器资源不被快速耗尽。

限制最大连接数

除了限制连接速率，限制每个 IP 的最大同时连接数也是防范 DDoS 攻击的有效手段。通过配置每个 IP 的最大连接数，可以防止攻击者通过大量并发连接来耗尽服务器资源。例如，我们可以使用以下命令设置每个 IP 对特定端口的最大同时连接数为 2：

firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 3 -p tcp --syn --dport 80 -m connlimit --connlimit-above 2 -j REJECT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 3 -p tcp --syn --dport 22 -m connlimit --connlimit-above 2 -j REJECT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 3 -p tcp --syn --dport 443 -m connlimit --connlimit-above 2 -j REJECT
在上述配置中，--connlimit-above 2 表示当单个 IP 的连接数超过 2 时，后续的连接请求将被拒绝。这种配置对于抵御并发连接耗尽类攻击非常有效，能够确保服务器在面对大量恶意连接时仍能保持稳定运行。

源探测技术

firewalld 的源探测技术是其防御 DDoS 攻击的重要特性之一。该技术通过对请求服务的报文源 IP 地址进行探测，来识别虚假源 IP 地址并丢弃相应的报文，从而有效地抵御 SYN Flood 等攻击。其原理是，当防火墙收到大量来自同一目的地址的 SYN 报文时，会启动 SYN 报文源认证。防火墙会拦截 SYN 报文，并伪造一个带有错误序列号的 SYN - ACK 报文回应给客户端。如果客户端是虚假源，则不会对错误的 SYN - ACK 报文进行回应，认证失败，防火墙将丢弃后续此源地址的 SYN 报文；如果客户端是真实源，则会响应一个 RST 报文，认证通过，防火墙会把此源地址加入白名单，并放行后续的 SYN 报文。例如，在遭受 SYN Flood 攻击时，攻击者通常会伪造大量的 SYN 请求报文发送给服务器。服务器每收到一个 SYN 报文就会响应一个 SYN - ACK 报文，但攻击者并不会理会此 SYN - ACK 报文，导致服务器端存在大量 TCP 半开连接，消耗大量的 CPU 及内存资源，最终使服务器无法处理正常的 SYN 请求。而 firewalld 的源探测技术能够通过上述机制，准确地识别出虚假源 IP 地址，有效地防止服务器资源被耗尽，确保正常用户的连接请求能够得到及时处理。

扫描 flood 防御

扫描类攻击，如 RST Flood 攻击，也是 DDoS 攻击的常见形式之一。这类攻击通过发送大量的扫描报文，试图获取系统信息或寻找系统漏洞。firewalld 可以通过设置规则限制特定端口的扫描报文速率，从而有效地防止攻击者获取系统信息。例如，对于端口 22、80 和 443，我们可以使用以下配置：

firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 4 -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 200/s --limit-burst 600 -j ACCEPT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 5 -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST RST -j REJECT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 4 -p tcp --dport 80 --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 200/s --limit-burst 600 -j ACCEPT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 5 -p tcp --dport 80 --tcp-flags SYN,ACK,FIN,RST RST -j REJECT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 4 -p tcp --dport 443 --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 200/s --limit-burst 600 -j ACCEPT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 5 -p tcp --dport 443 --tcp-flags SYN,ACK,FIN,RST RST -j REJECT
上述配置中，--tcp-flags SYN,ACK,FIN,RST RST 表示针对 RST 标志位的报文进行限制，--limit 200/s 和 --limit-burst 600 分别设置了每秒允许的最大报文速率和突发报文数。通过这样的设置，可以有效地降低扫描类攻击对系统的威胁，保护系统的安全。

攻击包过滤

除了上述针对特定类型攻击的防御策略外，firewalld 还可以通过设置规则过滤异常的 TCP 报文，从而有效阻止畸形报文攻击和一些恶意控制报文。例如，我们可以使用以下命令过滤掉所有标志位都被设置的异常 TCP 报文：

firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 3 -p tcp --tcp-flags ALL ALL -j REJECT
这条规则将拒绝所有标志位都被设置的 TCP 报文，防止畸形报文攻击。此外，还可以过滤掉一些特定组合的标志位，如 FIN、PSH 和 URG 标志位同时被设置的报文：

firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 3 -p tcp --tcp-flags ALL FIN,PSH,URG -j REJECT
通过这些攻击包过滤规则，可以进一步增强服务器的安全性，抵御各种形式的恶意报文攻击。

firewalld 配置实战与效果验证

下面我们通过一个实际的例子来演示 firewalld 的配置过程。假设我们有一台 CentOS 服务器，其 IP 地址为 192.168.1.100，我们需要对其进行配置以防御 DDoS 攻击。
首先，我们限制 SSH（端口 22）的连接速率为每秒最多接受 100 个 TCP SYN 包，连接请求突发时最多可接受 300 个连接请求，并且限制每个 IP 的最大同时连接数为 3。可以使用以下命令进行配置：

firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 4 -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST SYN -m limit --limit 100/s --limit-burst 300 -j ACCEPT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 5 -p tcp --dport 22 --tcp-flags SYN,ACK,FIN,RST SYN -j REJECT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 3 -p tcp --syn --dport 22 -m connlimit --connlimit-above 3 -j REJECT
接着，我们对 HTTP（端口 80）进行类似的配置，限制连接速率为每秒最多接受 200 个 TCP SYN 包，连接请求突发时最多可接受 500 个连接请求，每个 IP 的最大同时连接数为 5：

firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 4 -p tcp --dport 80 --tcp-flags SYN,ACK,FIN,RST SYN -m limit --limit 200/s --limit-burst 500 -j ACCEPT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 5 -p tcp --dport 80 --tcp-flags SYN,ACK,FIN,RST SYN -j REJECT
firewall-cmd --direct --permanent --add-rule ipv4 filter INPUT 3 -p tcp --syn --dport 80 -m connlimit --connlimit-above 5 -j REJECT
配置完成后，需要重新加载 firewalld 配置使其生效：

firewall-cmd --reload
为了验证上述配置的有效性，我们可以使用一些工具来模拟 DDoS 攻击并进行测试。例如，使用 hping 或 nping 工具来发送大量的 TCP 请求，模拟 SYN Flood 攻击。以 nping 工具为例，假设我们要对服务器的 HTTP 服务（端口 80）进行模拟攻击，可以使用以下命令：

nping --tcp -p 80 --flags syn 192.168.1.100 -c 1000
上述命令表示向服务器的 80 端口发送 1000 个带有 SYN 标志的 TCP 请求。在攻击过程中，我们可以通过查看服务器的连接数来判断是否达到了我们设置的限制。例如，使用以下命令查看当前的 TCP 连接数：

netstat -an | grep ESTABLISHED | grep 80 | wc -l
如果连接数超过了我们设置的每个 IP 的最大同时连接数（如上述例子中的 5），则说明攻击可能被成功防御。
此外，我们还可以通过查看防火墙规则命中数来进一步验证。使用以下命令查看 iptables 的规则命中数：

iptables -nvL
在输出结果中，如果我们设置的规则（如针对连接速率限制或最大连接数限制的规则）有命中数，且当超过限制时被规则命中并拦截，则证明规则生效。例如，如果我们看到类似于以下的输出：

Chain INPUT (policy ACCEPT 974 packets, 72397 bytes)
pkts bytes target prot opt in out source destination
5260 REJECT tcp -- * * 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 #conn src/32 > 5 reject-with icmp-port-unreachable
其中，5260 表示该规则的命中次数，这就说明针对 HTTP 端口 80 的最大连接数限制规则已经生效，成功拦截了超过限制的连接请求，从而验证了 firewalld 防御配置的有效性。

总结与展望

综上所述，firewalld 在 DDoS 攻击防御方面具有显著的优势。其动态更新功能使管理员能够迅速响应网络威胁，及时调整防火墙规则，有效应对各种突发的 DDoS 攻击。区域管理、服务管理、端口和协议管理以及基于网络流量和连接状态的规则管理等功能，为网络安全提供了精细化和灵活的控制手段，能够针对不同的网络环境和安全需求制定个性化的防御策略。源探测技术、扫描 flood 防御和攻击包过滤等特性，使其能够精准地识别和抵御多种常见的 DDoS 攻击类型，如 SYN Flood、HTTP Flood、RST Flood 等，保护服务器资源不被耗尽，确保正常用户的连接请求能够得到及时处理。
然而，我们也必须认识到 firewalld 并非万能的。在面对大规模、复杂的 DDoS 攻击时，例如由海量傀儡机发起的高强度攻击，单一的 firewalld 可能难以完全抵御。此时，可能需要结合其他防御手段，如专业的 DDoS 防护服务提供商的流量清洗服务、分布式集群防御技术、高防智能 DNS 解析等，构建多层次、全方位的防御体系，以提高网络的整体安全性。
展望未来，防火墙技术在网络安全防护领域将朝着智能化、协同化防御的方向不断发展。随着人工智能技术的日益成熟，防火墙将能够借助 AI 算法更精准地识别各种未知的 DDoS 攻击模式，自动学习和适应不断变化的网络威胁，实现智能化的攻击检测与防御。同时，防火墙将不再孤立作战，而是与其他网络安全设备（如入侵检测系统、防病毒软件、VPN 等）以及云端的安全服务紧密协同，形成一个有机的整体防御网络。通过信息共享和联动响应，能够更迅速地发现并阻断 DDoS 攻击，在网络安全的边界上构建起一道坚不可摧的防线，为用户提供更加可靠、高效的网络安全保护。
 

墨者安全 防护盾

墨者安全作为专业级别安全防护专家，在应对 Webshell 风险隐患方面展现出了卓越的能力。其拥有全面的检测机制，能够精准识别 Webshell 的各种类型和变体，无论是复杂的大马，还是隐蔽的内存马，都难逃其敏锐的监测。
墨者安全防护盾具备强大的实时监控功能，对服务器的各项活动进行 7*24 小时不间断的监视。一旦发现任何可疑的 Webshell 活动迹象，立即发出警报，并迅速采取隔离和清除措施，将风险扼杀在萌芽状态。
在防护策略上，墨者安全防护盾采用了多层次的防御体系。不仅能够在网络层面阻挡外部的恶意访问和攻击，还能深入系统内部，对服务器的文件系统、进程等进行深度检查和保护，确保 Webshell 无法植入和运行。
同时，墨者安全防护盾拥有快速的应急响应能力。当 Webshell 攻击事件发生时，专业的安全团队能够迅速介入，进行深入的分析和处理，最大程度减少攻击带来的损失，并帮助用户快速恢复服务器的正常运行。
墨者安全防护盾还注重用户教育和培训，为用户提供关于 Webshell 防范的专业知识和最佳实践，帮助用户提升自身的安全意识和防范能力，共同构建坚实的网络安全防线。