简谈几种ddos防御方法

对付DDOS是一个系统工程，想仅仅依靠某种系统或产品防住DDOS是不现实的，可以肯定
的是，完全杜绝DDOS目前是不可能的，但通过适当的措施抵御90%的DDOS攻击是可以做
到的，基于攻击和防御都有成本开销的缘故，若通过适当的办法增强了抵御DDOS的能力，
也就意味着加大了攻击者的攻击成本，那么绝大多数攻击者将无法继续下去而放弃，也就相
当于成功的抵御了DDOS攻击。

 

DDoS防御的方法：

1、采用高性能的网络设备

首先要保证网络设备不能成为瓶颈，因此选择路由器、交换机、硬件防火墙等设备的时候要
尽量选用知名度高、口碑好的产品。再就是假如和网络提供商有特殊关系或协议的话就更好
了，当大量攻击发生的时候请他们在网络接点处做一下流量限制来对抗某些种类的DDOS攻
击是非常有效的。

2、尽量避免NAT的使用

无论是路由器还是硬件防护墙设备要尽量避免采用网络地址转换NAT的使用，因为采用此
技术会较大降低网络通信能力，其实原因很简单，因为NAT需要对地址来回转换，转换过
程中需要对网络包的校验和进行计算，因此浪费了很多CPU的时间，但有些时候必须使用
NAT，那就没有好办法了。

3、充足的网络带宽保证

网络带宽直接决定了能抗受攻击的能力，假若仅仅有10M带宽的话，无论采取什么措施都
很难对抗现在的SYNFlood攻击，当前至少要选择100M的共享带宽，