iptables防DDOS***和CC***設置
| |||||
防範DDOS***腳本
#防止SYN*** 輕量級預防
iptables -N syn-flood iptables -A INPUT -p tcp –syn -j syn-flood iptables -I syn-flood -p tcp -m limit –limit 3/s –limit-burst 6 -j RETURN iptables -A syn-flood -j REJECT #防止DOS太多連接進來,可以允許外網網卡每個IP最多15個初始連接,超過的丟棄
iptables -A INPUT -i eth0 -p tcp –syn -m connlimit –connlimit-above 15 -j DROP iptables -A INPUT -p tcp -m state –state ESTABLISHED,RELATED -j ACCEPT #用Iptables抵禦DDOS (參數與上相同) iptables -A INPUT -p tcp --syn -m limit --limit 12/s --limit-burst 24 -j ACCEPT iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT ##########################################################
防範CC***
當apache站點受到嚴重的cc***,我們可以用iptables來防止web服務器被CC***,實現自動屏蔽IP的功能。
1.系統要求
(1)LINUX 內核版本:2.6.9-42ELsmp或2.6.9-55ELsmp(其它內核版本需要重新編譯內核,比較麻煩,但是也是可以實現的)。
(2)iptables版本:1.3.7
2. 安裝
安裝iptables1.3.7和系統內核版本對應的內核模塊kernel-smp-modules-connlimit
3. 配置相應的iptables規則
示例如下:
(1)控制單個IP的最大併發連接數
(2)控制單個IP在一定的時間(比如60秒)內允許新建立的連接數
4. 驗證
(1)工具:flood_connect.c(用來模擬***)
(2)查看效果:
使用
實時查看模擬***客戶機建立起來的連接數,
使用
查看模擬***客戶機被 DROP 的數據包數。
5.注意
爲了增強iptables防止CC***的能力,最好調整一下ipt_recent的參數如下:
|