Linux下防御ddos攻击

SYN攻击是利用TCP/IP协议3次握手的原理，发送大量的建立连接的网络包，但不实际建立连接，最终导致被攻击服务器的网络队列被占满，无法被正常用户访问。 Linux内核提供了若干SYN相关的配置，加大SYN队列长度可以容纳更多等待连接的网络连接数，打开SYN Cookie功能可以阻止部分 SYN攻击，降低重试次数也有一定效果。而DDOS则是通过使网络过载来干扰甚至阻断正常的网络通讯。通过向服务器提交大量请求，使服务器超负荷。阻断某一用户访问服务器阻断某服务与特定系统或个人的通讯。可以通过配置防火墙或者使用脚本工具来防范.

一、通过sysctl和iptables来防范

对sysctl参数进行修改

输出类似下面：

把如下加入到/etc/sysctl.conf即可，之后执行“sysctl -p”！

提高TCP连接能力

使用iptables命令：

来查看哪些IP可疑～比如：221.238.196.83这个ip连接较多，并很可疑，并不希望它再次与221.238.196.81有连接。可使用命令：

将来自221.238.196.83的包丢弃。

对于伪造源IP地址的SYN FLOOD攻击。该方法无效

其他参考

防止同步包洪水（Sync Flood）

也有人写作

--limit 1/s 限制syn并发数每秒1次，可以根据自己的需要修改防止各种端口扫描

Ping洪水攻击（Ping of Death）

二、用DDoS deflate自动屏蔽攻击

以下是用VPS测试的结果：

每个IP几个、十几个或几十个连接数都还算比较正常，如果像上面成百上千肯定就不正常了。

1、安装DDoS deflate

2、配置DDoS deflate

下面是DDoS deflate的默认配置位于/usr/local/ddos/ddos.conf ，内容如下：

##### Paths of the script and other files

PROGDIR="/usr/local/ddos"

PROG="/usr/local/ddos/ddos.sh"

IGNORE_IP_LIST="/usr/local/ddos/ignore.ip.list" //IP地址白名单

CRON="/etc/cron.d/ddos.cron" //定时执行程序

APF="/etc/apf/apf"

IPT="/sbin/iptables"

##### frequency in minutes for running the script

##### Caution: Every time this setting is changed, run the script with --cron

##### option so that the new frequency takes effect

FREQ=1 //检查时间间隔，默认1分钟

##### How many connections define a bad IP? Indicate that below.

NO_OF_CONNECTIONS=150 //最大连接数，超过这个数IP就会被屏蔽，一般默认即可

##### APF_BAN=1 (Make sure your APF version is atleast 0.96)

##### APF_BAN=0 (Uses iptables for banning ips instead of APF)

APF_BAN=1 //使用APF还是iptables。推荐使用iptables,将APF_BAN的值改为0即可。

##### KILL=0 (Bad IPs are'nt banned, good for interactive execution of script)

##### KILL=1 (Recommended setting)

KILL=1 //是否屏蔽IP，默认即可

##### An email is sent to the following address when an IP is banned.

##### Blank would suppress sending of mails

EMAIL_TO="root" //当IP被屏蔽时给指定邮箱发送邮件，推荐使用，换成自己的邮箱即可

##### Number of seconds the banned ip should remain in blacklist.

BAN_PERIOD=600 //禁用IP时间，默认600秒，可根据情况调整

3、选项

4、卸载

使用以上方法可以缓解一些攻击。

如果服务器是nginx的话可以按照

1、打开nginx访问日志

2、观察nginx日志

查看哪些ip重复很严重。

（1）agent的特征

比如：MSIE 5.01

配置nginx

将ip加入iptable内

如何查看user_agent

在地址栏输入:

回车就会弹出当前使用的浏览器的useragent.

ps:ie和firefox的user—agent

本文作者：czmmiao