Linux 系统防御 DDoS/DOS 攻击的全面指南

# 启用 SYN Cookie 防御（防 SYN Flood）
echo 1 > /proc/sys/net/ipv4/tcp_syncookies

# 减少 SYN 连接超时时间（加速回收半连接）
echo 30 > /proc/sys/net/ipv4/tcp_synack_retries

# 限制单个 IP 的最大连接数
echo "net.ipv4.netfilter.ip_conntrack_max = 65536" >> /etc/sysctl.conf
sysctl -p

# 允许已建立的连接通过
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT

# 限制单个 IP 的并发连接数
iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 50 -j DROP

# 限制每秒新连接数（防 CC 攻击）
iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT

# 手动封禁 IP
iptables -A INPUT -s 攻击者IP -j DROP

# 自动封禁频繁连接 IP（通过 fail2ban，见后文）

http {
    limit_conn_zone $binary_remote_addr zone=conn_limit_per_ip:10m;
    limit_req_zone $binary_remote_addr zone=req_limit_per_ip:10m rate=10r/s;

    server {
        # 限制单个 IP 并发连接数
        limit_conn conn_limit_per_ip 20;
        
        # 限制请求速率（防 CC 攻击）
        limit_req zone=req_limit_per_ip burst=30 nodelay;
    }
}

# 启用 mod_evasive（防高频请求）
<IfModule mod_evasive20.c>
    DOSHashTableSize 3097
    DOSPageCount 2
    DOSSiteCount 50
    DOSPageInterval 1
    DOSSiteInterval 1
</IfModule>

# 安装
apt install fail2ban  # Debian/Ubuntu
yum install fail2ban  # CentOS/RHEL

# 配置 SSH 防护（/etc/fail2ban/jail.local）
[sshd]
enabled = true
maxretry = 3
bantime = 1h

# 使用 iptables 的 SYN Proxy
iptables -t raw -A PREROUTING -p tcp --syn -j CT --notrack
iptables -A INPUT -p tcp -m conntrack --ctstate INVALID,UNTRACKED -j SYNPROXY --sack-perm --timestamp --wscale 7 --mss 1460

# 使用 ulimit 限制用户进程
ulimit -n 65535  # 最大文件描述符数
ulimit -u 500    # 最大用户进程数

# 使用 cgroups 限制服务资源
systemd-run --unit=limit-service --scope -p MemoryLimit=1G -p CPUQuota=50% /path/to/service

# 关闭 ICMP 响应（减少 Ping Flood 影响）
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_all

# 停用 IPv6（若无需使用）
sysctl -w net.ipv6.conf.all.disable_ipv6=1

# 查看当前连接数
netstat -ant | awk '{print $6}' | sort | uniq -c

# 检测高流量 IP
iftop -n -P  # 实时流量监控
vnstat -l    # 带宽统计

# 使用 ntopng 分析流量
ntopng -i eth0 -w 3000

#!/bin/bash
# 自动封禁 1 分钟内访问超过 100 次的 IP
netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n | tail -10 | while read line
do
    ip=$(echo $line | awk '{print $2}')
    count=$(echo $line | awk '{print $1}')
    if [ $count -gt 100 ]; then
        iptables -A INPUT -s $ip -j DROP
        echo "$(date) Banned $ip ($count connections)" >> /var/log/ddos.log
    fi
done