iptables防DDOS攻击和CC攻击配置
2024-08-30 23:04:47
防范DDOS攻击脚本
#防止SYN攻击 轻量级预防
iptables -N syn-flood
iptables -A INPUT -p tcp –syn -j syn-flood
iptables -I syn-flood -p tcp -m limit –limit /s –limit-burst -j RETURN
iptables -A syn-flood -j REJECT #防止DOS太多连接进来,可以允许外网网卡每个IP最多15个初始连接,超过的丢弃
iptables -A INPUT -i eth0 -p tcp –syn -m connlimit –connlimit-above -j DROP
iptables -A INPUT -p tcp -m state –state ESTABLISHED,RELATED -j ACCEPT #用Iptables抵御DDOS (参数与上相同)
iptables -A INPUT -p tcp –syn -m limit –limit /s –limit-burst -j ACCEPT
iptables -A FORWARD -p tcp –syn -m limit –limit /s -j ACCEPT
##########################################################
防范CC攻击
当apache站点受到严重的cc攻击,我们可以用iptables来防止web服务器被CC攻击,实现自动屏蔽IP的功能。
1.系统要求
(1)LINUX 内核版本:2.6.9-42ELsmp或2.6.9-55ELsmp(其它内核版本需要重新编译内核,比较麻烦,但是也是可以实现的)。
(2)iptables版本:1.3.7
2. 安装
安装iptables1.3.7和系统内核版本对应的内核模块kernel-smp-modules-connlimit
3. 配置相应的iptables规则
示例如下:
(1)控制单个IP的最大并发连接数
iptables -I INPUT -p tcp –dport -m connlimit –connlimit-above -j REJECT #允许单个IP的最大连接数为
#默认iptables模块不包含connlimit,需要自己单独编译加载,请参考该地址http://sookk8.blog.51cto.com/455855/280372不编译内核加载connlimit模块
(2)控制单个IP在一定的时间(比如60秒)内允许新建立的连接数
iptables -A INPUT -p tcp –dport -m recent –name BAD_HTTP_ACCESS –update –seconds –hitcount -j REJECT iptables -A INPUT -p tcp –dport -m recent –name BAD_HTTP_ACCESS –set -j ACCEPT
#单个IP在60秒内只允许最多新建30个连接
4. 验证
(1)工具:flood_connect.c(用来模拟攻击)
(2)查看效果:
使用
watch ‘netstat -an | grep: | grep<模拟攻击客户机的IP>| wc -l’
实时查看模拟攻击客户机建立起来的连接数,
使用
watch ‘iptables -L -n -v | \grep<模拟攻击客户机的IP>’
查看模拟攻击客户机被 DROP 的数据包数。
5.注意
为了增强iptables防止CC攻击的能力,最好调整一下ipt_recent的参数如下:
#cat/etc/modprobe.conf options ipt_recent ip_list_tot= ip_pkt_list_tot=
#记录1000个IP地址,每个地址记录60个数据包 #modprobe ipt_recent
最新文章
- 产生冠军 map 的 应用 .
- (转载)前端构建工具gulp使用
- Oracle DataGuard搭建(二)
- Java 7源码分析第13篇 - 字节输入输出流(1)
- 显示形状回归算法(ESR)代码介绍
- [转]整理jquery使用好习惯
- [pip]upgrade outdated pip package on windows / 在windows上更新所有过时的pip包
- [2019/03/17#杭师大ACM]赛后总结(被吊锤记)
- docker下搭建fastfds集群版
- 手机调试 --- 通过chrome测试手机网站
- oel5.5安装mysql数据库初始化报错解决办法
- CTF-练习平台-Misc之 MISC图穷匕见
- **PHP删除数组中特定元素的两种方法array_splice()和unset()
- 1135: [POI2009]Lyz
- [Grunt] Cleaning your build folder with grunt-contrib-clean
- js之数码时钟加随机变色
- ESXI5-WIN2008R2安装域控以及额外域笔记
- django 迁移工程数据库无法创建的问题
- Hibernate 注解(Annotations 一)
- Windows系统中Xshell与Linux连接时遇到的问题