Linux网络遭到攻击后是如何实现封禁IP的

通过 netstat 获取攻击者 IP

    如果你是被攻击的 Web 服务的话，默认是80端口，我们就可以使用下面的代码，如果攻击的不是80端口的话，将下面的两个数字80改为你被攻击的端口即可。如果你需要显示多条记录，请自己手动将head -n20调大即可。

 netstat -anlp|grep 80|grep tcp|awk '{print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -nr|head -n20 | netstat -ant |awk '/:80/{split($5,ip,":");++A[ip[1]]}END{for(i in A) print A[i],i}' |sort -rn|head -n20

通过 tcpdump 获取攻击者 IP

    使用之前检查是否已经安装了tcpdump，Debian/Ubuntu系列快速安装如下

apt-get install -y tcpdump

    安装后，使用下面的代码即可。需要注意的是，-i eth0指的是你主网卡，如果你是 OpenVZ
    的虚拟机的话，就改成您的网卡名venet0。同样你需要设置的是，port 80设置你被攻击的端口，-c 1000指 tcpdump
    需要统计的记录数，他会在达到这个数之后显示结果。head -20设置你要显示的记录条数

tcpdump -i eth0 -tnn dst port 80 -c 1000 | awk -F”.” ‘{print $1″.”$2″.”$3″.”$4}’ | sort | uniq -c | sort -nr |head -20

如何封禁 IP

    通过上面的步骤，我们已经知道是谁在攻击我们了，现在我们就可以将他们拉入iptables禁止他们连接到服务器了。

    封禁单个 IP

iptables -I INPUT -s 211.1.2.1 -j DROP

    封禁一个 IP 段

iptables -I INPUT -s 211.1.2.0/16 -j DROP