- 爬虫很烦人,dos攻击更烦人,今天公司一个裸站被dos攻击了,简单记录一下;
- iptables是Linux上常用的防火墙软件,使用 iptables 封 IP,是一种比较简单的应对网络攻击的方式,也算是比较常见,但其使用链表作为数据结构,效率很低,复杂度都是O(n);
- ipset 提供了把这个 O(n) 的操作变成 O(1) 的方法:就是把要处理的 IP 放进一个集合,对这个集合设置一条 iptables 规则。像 iptable 一样,IP sets 是 Linux 内核中的东西,ipset 这个命令是对它进行操作的一个工具。
所以封禁策略分三步:iptables启用封禁规则,检测坏IP,添加坏IP到封禁规则中
可以用这几条命令概括使用 ipset 和 iptables 进行 IP 封禁的流程
ipset create ipban hash:ip iptables -I INPUT -m set --match-set ipban src -j DROP ipset add ipban 4.5.6.7 ipset add ipban 1.2.3.4 ipset add ipban ... ipset list ipban # 查看 ipban 集合的内容
规则可以实现建立好(注意iptables和ipset都是存内存数据,重启失效,可以持久化,如果规则不复杂可以开机时运行启动脚本加入规则);
ip检测需要自动化
整个防dos功能就做好了
主要记录一下命令:
iptables
查看:iptables -L -n -v --line-numbers