DDOS防护

iptables防护

#打开转发

sysctl -w net.ipv4.ip_forward=1 &>/dev/null

#打开 syncookie （轻量级预防 DOS 攻击）

sysctl -w net.ipv4.tcp_syncookies=1 &>/dev/null

#设置默认 TCP 连接最大时长为 3800 秒（此选项可以大大降低连接数）

sysctl -w net.ipv4.netfilter.ip_conntrack_tcp_timeout_established=3800 &>/dev/null

#设置支持最大连接数为 30W（这个根据你的内存和 iptables 版本来，每个 connection 需要 300 多个字节）

sysctl -w net.ipv4.ip_conntrack_max=300000 &>/dev/null

#防止SYN攻击 轻量级预防    3/s  3个每秒   桶是6

iptables -N syn-flood

iptables -A INPUT -p tcp --syn -j syn-flood

iptables -I syn-flood -p tcp -m limit --limit 3/s --limit-burst 6 -j RETURN

iptables -A syn-flood -j REJECT

 

#防止DOS太多连接进来,可以允许外网网卡每个IP最多15个初始连接,超过的丢弃

iptables -A INPUT -i eth0 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP

iptables -A INPUT -p tcp -m state --state ESTABLISHED