CentOS环境下如何防止DDoS攻击

CentOS 环境下防止 DDoS 的实用方案

一分层防护思路

网络层：在边界或上游开启运营商/云厂商的高防IP/BGP高防与清洗服务，隐藏源站真实 IP，异常流量在上游被丢弃或限速。
主机层：最小化暴露面（只开放必要端口与服务）、用 iptables/firewalld 做连接速率与并发限制、开启 SYN Cookies 等内核抗洪能力。
应用层：对 HTTP/HTTPS 启用速率限制、并发控制与 WAF 规则（如 ModSecurity），缓解 CC 攻击。
检测与响应：用 Fail2Ban 自动封禁恶意来源，结合日志与连接数监控快速处置。

二快速加固清单（可直接执行）

系统更新与最小化服务
- 执行：sudo yum update -y，仅开启业务必需端口与服务，关闭不必要的端口/协议。
防火墙与连接管控（iptables 示例）
- 允许回环与已建立连接：
  - sudo iptables -A INPUT -i lo -j ACCEPT
  - sudo iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
- 限制新 SYN 速率（缓解 SYN Flood）：
  - sudo iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT
- 限制 ICMP 速率（防 ICMP 洪水）：
  - sudo iptables -A INPUT -p icmp -m limit --limit 10/s --limit-burst 10 -j ACCEPT
- 按 IP 限制并发连接（示例阈值 20）：
  - sudo iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 20 -j REJECT --reject-with tcp-reset
- 持久化规则：
  - sudo iptables-save > /etc/iptables/rules.v4
应用层速率限制（Nginx 示例）
- 在 http 段定义共享内存区：limit_req_zone $binary_remote_addr zone=mylimit:10m rate=1r/s;
- 在 server/location 段启用：limit_req zone=mylimit burst=5;（可按业务适当调大/调小）
Fail2Ban 自动封禁
- 安装与启用：sudo yum install fail2ban -y && sudo systemctl enable --now fail2ban
- 建议创建 /etc/fail2ban/jail.local，示例：
  - [DEFAULT] bantime = 600; findtime = 600; maxretry = 3
  - [sshd] enabled = true; port = ssh; filter = sshd; logpath = /var/log/secure; maxretry = 3

三内核网络参数优化

编辑 /etc/sysctl.conf，加入或调整为：
- net.ipv4.tcp_syncookies = 1（开启 SYN Cookies，缓解半开连接耗尽）
- net.ipv4.tcp_tw_reuse = 1（允许 TIME_WAIT 套接字复用）
- net.ipv4.tcp_fin_timeout = 30（缩短 FIN_WAIT_2 超时，加速回收）
使配置生效：sudo sysctl -p

四监测与应急处置

连接数排查（定位异常来源）
- 统计每个 IP 的连接数：netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr
- 观察当前已建立连接总量：netstat -an | grep ESTABLISHED | wc -l
临时封禁与解封
- 封禁单个 IP：sudo iptables -A INPUT -s <攻击IP> -j DROP
- 解封：sudo iptables -D INPUT -s <攻击IP> -j DROP
日志与告警
- 实时查看：sudo tail -f /var/log/messages /var/log/secure；结合 Fail2Ban 日志与业务日志发现异常模式。

五针对 LNMP 与 LAMP 的要点

LNMP：在 Nginx 启用 limit_req 限流与 burst 缓冲，结合 ModSecurity 做应用层规则过滤，减轻 HTTP GET/POST 洪泛与 CC 攻击。
LAMP：优先在上游接入高防IP/BGP高防并正确回源，隐藏源站；在系统防火墙层面限制访问源与端口，减少攻击面。
当遭受大流量/超大流量攻击时，仅靠单机防火墙难以完全抵御，建议联动上游清洗与高防服务共同处置。

最新问答