盗版Linux内核,程序员罗杰-Linux kernel 内核高并发优化及防SYN DDOS攻击

最近很多朋友服务器被攻击，可以参考设置：

1、vi /etc/sysctl.confnet.ipv4.tcp_syn_retries = 2

net.ipv4.tcp_synack_retries = 1

net.ipv4.tcp_keepalive_time = 600

net.ipv4.tcp_keepalive_probes = 3

net.ipv4.tcp_keepalive_intvl =15

net.ipv4.tcp_retries2 = 5

net.ipv4.tcp_fin_timeout = 2

net.ipv4.tcp_max_tw_buckets = 36000

net.ipv4.tcp_tw_recycle = 1

net.ipv4.tcp_tw_reuse = 1

net.ipv4.tcp_max_orphans = 32768

net.ipv4.tcp_syncookies = 1

net.ipv4.tcp_max_syn_backlog = 16384

net.ipv4.tcp_wmem = 8192 131072 16777216

net.ipv4.tcp_rmem = 32768 131072 16777216

net.ipv4.tcp_mem = 786432 1048576 1572864

net.ipv4.ip_local_port_range = 1024 65000

#net.ipv4.ip_conntrack_max = 65536

#net.ipv4.netfilter.ip_conntrack_max=65536

#net.ipv4.netfilter.ip_conntrack_tcp_timeout_established=180

net.core.somaxconn = 16384

net.core.netdev_max_backlog = 16384

vm.swappiness=10

net.ipv4.neigh.default.gc_stale_time=120

net.ipv4.conf.default.rp_filter=0

net.ipv4.conf.all.rp_filter=0

net.ipv4.conf.all.arp_announce=2

net.ipv4.conf.lo.arp_announce=2

2、重启生效sysctl -p

3、如果是盗版VOS服务器，则需要修改web端口，SSH端口，和防火墙设置

vi /etc/sysconfig/888iptables# Generated by iptables-save v1.3.5 on Mon Mar  5 16:29:31 2018

*filter

:INPUT DROP [0:0]

:FORWARD ACCEPT [0:0]

:OUTPUT ACCEPT [2:320]

:RH-Firewall-1-INPUT - [0:0]

-A INPUT -s 115.29.234.201 -j DROP

-A INPUT -s 222.95.0.0/255.255.0.0 -j DROP

-A INPUT -s 222.94.0.0/255.255.0.0 -j DROP

-A INPUT -s 58.212.0.0/255.255.0.0 -j DROP

-A INPUT -s 5.188.0.0/255.255.0.0 -j DROP

-A INPUT -s 13.66.0.0/255.255.0.0 -j DROP

-A INPUT -s 175.124.0.0/255.255.0.0 -j DROP

-A INPUT -s 109.248.0.0/255.255.0.0 -j DROP

-A INPUT -s 36.89.0.0/255.255.0.0 -j DROP

-A INPUT -s 195.68.0.0/255.255.0.0 -j DROP

-A INPUT -s 159.89.0.0/255.255.0.0 -j DROP

-A INPUT -s 56.196.0.0/255.255.0.0 -j DROP

-A INPUT -s 51.15.0.0/255.255.0.0 -j DROP

-A INPUT -i lo -j ACCEPT

-A INPUT -p tcp -m tcp --dport 7171 -j ACCEPT

-A INPUT -p tcp -m tcp --dport 8901 -j ACCEPT

-A INPUT -p tcp -m tcp --dport 6999 -j ACCEPT

-A INPUT -p tcp -m tcp --dport 8080 -j ACCEPT

-A INPUT -p tcp -m tcp --dport 8088 -j ACCEPT

-A INPUT -p tcp -m tcp --dport 10000:49999 -j ACCEPT

-A INPUT -p udp -m udp --dport 5060 -j ACCEPT

-A INPUT -p udp -m udp --dport 5070 -j ACCEPT

-A INPUT -p udp -m udp --dport 10000:49999 -j ACCEPT

COMMIT

# Completed on Mon Mar  5 16:29:31 2018

重启：

service 888iptables restart

4、修改web端口为7171

vi /etc/httpd/conf/httpd.confListen 7171

重启：

service httpd restart

5、修改ssh端口8901

vi /etc/ssh/sshd_configPort 8901

重启：

service sshd restart