如何防范 DDoS 攻击

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

Distributions

› Ubuntu

› Fedora

› CentOS

中文资源站

› 网易开源镜像站

这是一个创建于 3402 天前的主题，其中的信息可能已经有所发展或是发生改变。

网上都搜了下，但是感觉都很古老还不一定管用…
想问下如何把 80 端口做那个啥端口映射改成本地别的端口？这样防范 DDoS 的效果会好吗？

我对这个也不是很明白， DDoS 只针对这个 80 端口吗， 21 22 端口会受到影响吗？

第 1 条附言 · 2015-09-04 08:59:26 +08:00

心疼自己, 主机开通不到一周, 域名还没绑定就被人干

第 2 条附言 · 2015-09-04 10:19:00 +08:00

刚空间提供商发 ticket 给我说又被 DDoS 了...

博客还没正式上线呢, 我擦....难道是因为 S*S 的原因? 功夫网干的? 心疼自己...

端口

ddos

防范

映射

78 条回复 • 2015-09-05 12:45:05 +08:00

binux

2015-09-03 19:37:10 +08:00

把网线拔了

skxs067

2015-09-03 19:38:35 +08:00 via Android

@binux 别闹，网线在美国呢…这效果太拔群，把自己也防范了

ryd994

2015-09-03 19:39:21 +08:00 via Android

DDoS 有很多种……
大部分都是除了找清洗没法防的。直接占满带宽，怎么防？
剩下的国内喜欢叫 CC

xmoon

2015-09-03 19:39:24 +08:00

都会影响因为流量一大啥都进不来了还有可能波及同路由的解决方法如上拔网线

babytomas

2015-09-03 19:41:13 +08:00

如果你是普通用户的话就注意不要惹别人、多交朋友就好啦。

我认为要真正的防范 DDOS 攻击也就只可以依靠硬件了，

你需要集群防火墙。

lxy

2015-09-03 19:42:03 +08:00

单纯防范没用，找出攻击源，然后你懂的。

baiyemao

2015-09-03 19:44:16 +08:00

@lxy 你也怂的不成样子，说出来不好么

xfspace

2015-09-03 19:45:42 +08:00 via Android

@skxs067 干了 Web 服务软件，这样就排除自己了～

Strikeactor

2015-09-03 19:47:11 +08:00

一楼其实没开玩笑。。

MrJing1992

2015-09-03 19:48:58 +08:00

这个真的就是拼硬件了

R18

2015-09-03 20:00:14 +08:00 via Android

上硬防

moult

2015-09-03 20:01:26 +08:00

出现攻击的时候，马上将 DNS 解析到“ 202.123.110.41 ”。（逃

hjc4869

2015-09-03 20:02:56 +08:00

使用 CDN 。

skxs067

2015-09-03 20:04:35 +08:00 via Android

@babytomas 心疼自己，主机才开通不到一周，防火墙的话，一个月 30 刀

skxs067

2015-09-03 20:07:20 +08:00 via Android

@xfspace 怎么干，目前我的主机上一个是刚搭建的博客，一个是我的影*梭，把 web 干掉的话，博客肯定没戏了， s*s 会受到影响吗

pixstone

2015-09-03 20:07:42 +08:00 via iPhone

我们家一般选择解析到 ccav

simodorg

2015-09-03 20:13:41 +08:00

@moult 新技能 get 。

huangtao728

2015-09-03 20:20:06 +08:00 via iPad

@moult hhh

dingzi

2015-09-03 20:34:56 +08:00

隐藏真实 ip 上 cnd 上硬防

hiboshi

2015-09-03 20:44:03 +08:00

@moult 手贱去访问了一次吓尿

skxs067

2015-09-03 20:45:15 +08:00 via Android

@hiboshi 你干嘛了…保安上门了？

zhicheng

2015-09-03 20:48:10 +08:00

个人博客欢迎使用 TextArea.com 。

qian19876025

2015-09-03 20:48:35 +08:00

@hjc4869 万一别个 DNS 巨炮呢

bobopu

2015-09-03 21:04:34 +08:00 via iPhone

cloudflare 付费版呀，多方便。

jsq2627

2015-09-03 21:09:48 +08:00

CDN
集群，负载均衡
购买防御带宽

不管怎么样，防御成本是远远大于攻击成本的。非盈利或者个人小站什么的就算了吧，只能默默挨打。。

publicID321

2015-09-03 21:17:30 +08:00

服务器预防 DDoS 攻击的方法
http://www.williamlong.info/archives/4339.html

fuge

2015-09-03 21:20:53 +08:00 via iPhone

github 是怎么弄的

skxs067

2015-09-03 21:28:06 +08:00

@bobopu 实际上我的主机刚搭了不到一周, 博客和 S*S 刚放上去没多久, 还没绑定域名呢, 真实 IP 被攻击了有解吗....除了拔网线

FrankFang128

2015-09-03 21:28:12 +08:00 via Android

苹果怎么防黄牛？

Andy1999

2015-09-03 21:41:12 +08:00

如果不 Null Route 的话例如 Softlayer ，可以试试看软防封 ip
之前的话会死大概 10 分钟，封完 ip 就 ok 了

popu111

2015-09-03 22:02:47 +08:00

用 rinetd 转到 gov.cn 去（大雾

crab

2015-09-03 22:07:46 +08:00

遇到专门弄这些的，就是百度都得倒下。

hadoop

2015-09-03 22:12:10 +08:00

@moult 不能直接用 ip 进行攻击？

Ryans

2015-09-03 22:13:48 +08:00

这方面有一点点了解。

换端口没有用，直接按着域名、 IP 来打。
DDOS ，除非是有竞争关系、或者遇上网络勒索。

一般的抗 D 解决方案无非就是自己买硬件设备，或者用第三方的抗 D 服务。
国内的个人站，建议用加速乐抗 D 。
中小企业，还是买抗 D 服务吧。比如上次锤子官网发布时被 D ，也是腾讯云的大禹系统扛过去的。防 D 拼带宽拼设备，你拼得过大企业吗？

skxs067

2015-09-03 22:21:53 +08:00

@Ryans 嗯那你所说的但三方,比如 cloudflare, 对我这种直接 IP 被攻击的有效果吗

Ryans

2015-09-03 22:37:48 +08:00

@skxs067 关键在于你的真实 server 源 IP 不能暴露，暴露了只能换。像加速乐是，你的域名它帮你解析成很多个他们的 IP ，再将正常流量转到你的真实后端。

cloudflare 不了解

hjc4869

2015-09-03 22:48:30 +08:00

@qian19876025 Cloudflare 这种 CDN 也是带 DNS 的啊。。全套都包了。。
或者用 Azure DNS 这种自带高防的，就是价格贵点（逃

qian19876025

2015-09-03 23:54:58 +08:00

@hjc4869 我说的是 DNS 污染那种你 CDN 自带 DNS 和我 DNS 投毒貌似关系不大吧

msg7086

2015-09-03 23:59:28 +08:00

没有金刚别揽瓷器，真的。
你要玩高危行业，就别不舍得下血本。
要么就找 kimsufi 那种能专业抗 D 的机器。

MrEggNoodle

2015-09-04 00:31:47 +08:00

@moult 23333333Get it

extreme

2015-09-04 01:02:38 +08:00

@popu111
有什么用？
不仅下行被耗尽，你自己还要耗尽上行？外加一个攻击政府网站的罪名？

xierch

2015-09-04 02:23:42 +08:00

Vultr 也是随随便便的 null route 的样子，
这种除了换家服务商，或者上反代，还真没什么办法了

webjin

2015-09-04 03:16:23 +08:00 via Android

加大带宽上硬防。单有硬防设备没带宽也是空谈。

zyqf

2015-09-04 03:51:22 +08:00

@zhicheng 请问这个社区是开源的吗?好赞的界面

lty1993

2015-09-04 07:00:55 +08:00

很想知道哪里能买到 DDOS 服务。。。想攻击下自己服务器测试下。。。

bugeye

2015-09-04 07:17:21 +08:00

个人博客有什么好防的，攻击者要么是傻了才会干这事，攻击你一样要成本的。

而个人博客刚上线有几个人看？随便下线换个 IP 什么的，有影响吗？

skxs067

2015-09-04 08:08:51 +08:00 via Android

@bugeye 嗯，再遇到我就申请换 IP ，想不通谁会吃饱了撑的找我的麻烦，域名还没绑定呢

Menng

2015-09-04 08:21:34 +08:00 via Android

@popu111 做死

asp

2015-09-04 08:49:19 +08:00

想真正防起来哪有那么简单，不然 ddos 早就消失了！

asp

2015-09-04 08:51:00 +08:00

DDOS 放大技术： http://www.milw0rm.cn/articles/safe/2015-08-31/2336.html

zhicheng

2015-09-04 10:57:07 +08:00

@zyqf 目前还不是。

Tink

2015-09-04 12:10:20 +08:00 via iPhone

拔网线或者集群

giuem

2015-09-04 12:12:56 +08:00 via Android

换主机商吧，比如 OVH 这种的

2015-09-04 12:23:39 +08:00 via Android

除了硬防，没啥好法子，会不会是 ip 前拥有者仇家？

skxs067

2015-09-04 12:44:47 +08:00 via Android

@Tink
@giuem
@x4

刚让主机商给我换 IP 了，要是再被 DDoS 我也只能认了，看了下提供的 BASIC firewall 是 30 刀一月…😂，个人主机真是心酸

skxs067

2015-09-04 12:47:22 +08:00 via Android

@bugeye 然而他真的傻了…今天起床后没多久看到两个 ticket ，又被攻击，我让服务商换 IP 了，反正博客没开

chinabrowser

2015-09-04 13:43:18 +08:00 via Android

302 > dwz.cn > gov.cn

qwlhappy

2015-09-04 13:47:46 +08:00

你确定是别人 DDoS 你，不是你 DDoS 别人？如果发 tickets 说流量异常的话很有可能是密码太简单被扫出来了。。。

2015-09-04 14:36:44 +08:00

楼上这么做， gov 不会抓攻击者，只会抓你的。

adrianzhang

2015-09-04 15:20:01 +08:00

HAproxy 你值得拥有

hoorace

2015-09-04 15:20:31 +08:00

其实通过 iptables 一个的把 ip 封掉是一个不错的办法，小网站，别人不会没事弄大流量来折腾的，写个脚本封他 50 个 IP ，就 OK 了。

skxs067

2015-09-04 15:32:50 +08:00 via Android

@qwlhappy 第一次 DDoS 之后我就更改了 root 密码，查看了登录历史也没问题，此前也遭遇过 ssh 攻击，立马弄了个 denyhost 就好了

mytsing520

2015-09-04 15:41:26 +08:00

CDN 抗 D 完全是扯淡

Showfom

2015-09-04 16:46:29 +08:00

不要惹小人就是

stanhou

2015-09-04 17:25:22 +08:00

@mytsing520 目前 CDN 是抗 DDOS 最有效的办法

hjc4869

2015-09-04 18:07:18 +08:00 via iPhone

@qian19876025 DNS 污染只要不直接指向你的源战 IP ，就不会影响你。 CDN 一个 IP 有好多个网站（除非买独立 IP anycast 的），如果 HTTP Header 里的 Host 不是你的域名，而是被污染的网站的域名， CDN 根本不会传递给你，而是直接给 404 之类的，如果 CDN 挡不住这点攻击就别玩了。

usernametoolong

2015-09-04 18:21:35 +08:00

先区分是 UDP 还是 TCP 攻击对症下药就能解决。

UDP 攻击上大带宽有硬防过滤的机房做保护， TCP 攻击，只要量在内核承受范围内，把攻击者和正常访问的 IP 区分开就能解决。

一些比较二的人被 TCP 攻击了下就炸锅了。

leeyiw

2015-09-04 18:28:18 +08:00

还是推荐 Cloudflare 吧，让自己防的基本上是扯淡，又没什么成本，接入试试呗

skxs067

2015-09-04 18:35:12 +08:00

@leeyiw 是这个道理....我被 DDOS 没多久,服务商看到我流量暴增就把我的 IP 直接 disable 了...后来我这边查又看不到日志,也只能让机房帮忙看看攻击 IP 了, 我是 IP 直接被攻击的情况下,也只能躲, 惹不起

litpen

2015-09-04 20:23:00 +08:00

除非关掉服务，否则只能提高服务器配置来提高接收能力

flydogs

2015-09-04 20:26:00 +08:00

月光博客前几天有一篇文章，专门说抵御 DDOS 的
大致意思是， 1.打补丁， 2.隐藏自身 IP ， 3.用 CDN ， 4.用盾机

wy315700

2015-09-04 20:29:59 +08:00

是不是你这个 IP 以前被人用过，但是被 DDOS 搞的换了 IP ，然后刚好这个 IP 被你用了。。。。

skxs067

2015-09-04 20:34:06 +08:00

@wy315700 有这个可能性...开通主机不到一周,刚开通前两天被 SSH 攻击,之后被 DDoS 了三次, 我域名还没绑定,也没对外公布过

wy315700

2015-09-04 20:40:45 +08:00

@skxs067 申请换个 IP 看看，

Linusyeung

2015-09-04 21:00:33 +08:00 via iPhone

我也是刚开就遇到 ssh 暴力登录，不知谁这么无聊……(猜测是本地 ISP 发现的)

我业余玩家，问个小白问题：防 Dos 用 iptables 不行么？见：
https://wiki.archlinux.org/index.php/Simple_stateful_firewall

可能 DDOS 就不行了…

Microseft

2015-09-05 09:36:15 +08:00

DDOS 和 CC 目前的网络结构下
只有增加带宽和硬防

CDN 其实本质就是分流,每个节点的流量很小,自然就容易防御了

aksoft

2015-09-05 11:46:45 +08:00

X 宝买一个月高防 DNS ，别的都是扯淡

2015813

2015-09-05 12:45:05 +08:00

观望中