Linux系统如何应对DDoS攻击？_Linux防御策略与实战方法

iptables

# 限制单个IP的并发连接数，例如针对SSH端口，防止暴力破解，也可以扩展到Web服务
iptables -A INPUT -p tcp --dport 22 -m connlimit --connlimit-above 5 -j REJECT --reject-with tcp-reset
# 限制单个IP对Web服务的并发连接数
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 --connlimit-mask 32 -j DROP
# 限制SYN请求频率，防止SYN Flood，每秒最多1个新连接，突发3个
iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP

sysctl.conf

# 开启SYN Cookies，防止SYN Flood
net.ipv4.tcp_syncookies = 1
# 增加TCP连接队列大小，允许更多半开连接和已建立连接
net.ipv4.tcp_max_syn_backlog = 8192
net.core.somaxconn = 65535
# 减少TIME_WAIT状态，尽快释放端口
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_fin_timeout = 30
# 禁用ICMP广播回复，减少反射攻击的可能性
net.ipv4.icmp_echo_ignore_broadcasts = 1
# 忽略ICMP错误消息
net.ipv4.icmp_ignore_bogus_error_responses = 1

# Nginx限制请求速率，例如每秒10个请求，突发5个
limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
server {
    listen 80;
    server_name example.com;
    location / {
        limit_req zone=one burst=5 nodelay; # burst允许突发请求，nodelay表示不延迟立即处理
        # ... 其他配置
    }
}

iptables

# 限制单个IP每分钟最多建立10个新连接到80端口
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -m recent --set --name WEB_ACCESS --rsource
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -m recent --update --seconds 60 --hitcount 10 --name WEB_ACCESS --rsource -j DROP

sysctl -w net.ipv4.tcp_syncookies=1

tcp_max_syn_backlog

somaxconn

TIME_WAIT

tcp_tw_recycle

tcp_tw_reuse

netstat -tulnp

iptables

sysctl.conf

fs.file-max

ulimit -n

# 增加系统最大文件描述符数
sysctl -w fs.file-max=655360
# 针对特定用户或进程，在/etc/security/limits.conf中设置
# *  soft  nofile  65535
# *  hard  nofile  65535

limit_req_zone

limit_conn_zone

# 限制连接数，单个IP最多10个并发连接
limit_conn_zone $binary_remote_addr zone=conn_one:10m;
server {
    listen 80;
    server_name example.com;
    location / {
        limit_conn conn_one 10;
        # ...
    }
}

iptables

iptables

fail2ban

iptables

# 简单的日志分析和IP封禁脚本思路（仅作示意，生产环境需更完善和安全）
# 例如，监控Nginx日志，如果某个IP在短时间内访问了大量非静态资源，则封禁
# cat /var/log/nginx/access.log | grep "GET /api/" | awk '{print $1}' | sort | uniq -c | awk '$1 > 100 {print $2}' | xargs -I {} iptables -A INPUT -s