用iptable防止ddos

最新推荐文章于 2024-08-22 15:33:59 发布
原创 最新推荐文章于 2024-08-22 15:33:59 发布 · 199 阅读 · 1 ·
CC 4.0 BY-SA版权
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
文章标签：

#Linux #防火墙 #CentOS #脚本 #J#

本文介绍了一款用于防御DDoS攻击的脚本DDoSdeflate，详细讲解了其安装、配置及卸载方法，并提供了实用的命令来检测服务器是否遭受攻击。
DDoS deflate是一款Linux/centos减轻/防止ddos攻击的一个小程序，相当于软件防火墙。注意，此程序仅仅能抵御较低流量的攻击，大流量攻击连用了上百台高档服务器做了负载均衡的新浪都扛不住，何况一个小小的普通服务器或vps。对此程序不要期望过高。这里仅仅介绍一下，对于一些简单的软件攻击可能还有点作用。

CTOHOM制作的DDoS deflate一键安装脚本：

wget http://www.ctohome.com/linux-vps-pack/soft/ddos/ddos.sh;
sh ddos.sh;

netstat -ntu | awk '{print }' | cut -d: -f1 | sort | uniq -c | sort -n
ddosdeflate提供了以上查看当前连接数的shell

脚本做了什么？

默认将iptables防火墙作为拦截工具，并将并发数改成了60/秒就触发屏蔽IP
将本机IP都加入了IP白名单，然后强行不允许自动更新白名单列表。如果你需要修改IP白名单列表，请先执行 chattr -i /usr/local/ddos/ignore.ip.list 然后再vi进行修改
卸载：wget http://www.ctohome.com/linux-vps-pack/soft/ddos/uninstall.ddos;sh uninstall.ddos;
安装后，可以手工运行脚本

/usr/local/ddos/ddos.sh -k 30 强行屏蔽连接数大于30的IP
更多使用说明，请直接 more /usr/local/ddos/ddos.sh 查看

DDoS deflate介绍

DDoS deflate是一款免费的用来防御和减轻DDoS攻击的脚本。它通过netstat监测跟踪创建大量网络连接的IP地址，在检测到某个结点超过预设的限 制时，该程序会通过APF或IPTABLES禁止或阻挡这些IP.

DDoS deflate官方网站：http://deflate.medialayer.com/

如何确认是否受到DDOS攻击？

执行：

netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n
执行后，将会显示服务器上所有的每个IP多少个连接数。

以下是我自己用VPS测试的结果：

li88-99:~# netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n
1 114.226.9.132
1 174.129.237.157
1 58.60.118.142
1 Address
1 servers)
2 118.26.131.78
3 123.125.1.202
3 220.248.43.119
4 117.36.231.253
4 119.162.46.124
6 219.140.232.128
8 220.181.61.31 VPS侦探 http://www.vpser.net/
2311 67.215.242.196 （这个看起来像攻击）
每个IP几个、十几个或几十个连接数都还算比较正常，如果像上面成百上千肯定就不正常了。

1、安装DDoS deflate

wget http://www.inetbase.com/scripts/ddos/install.sh //下载DDoS deflate
chmod 0700 install.sh //添加权限
./install.sh //执行
2、配置DDoS deflate

下面是DDoS deflate的默认配置位于/usr/local/ddos/ddos.conf ，内容如下：

##### Paths of the script and other files
PROGDIR="/usr/local/ddos"
PROG="/usr/local/ddos/ddos.sh"
IGNORE_IP_LIST="/usr/local/ddos/ignore.ip.list" //IP地址白名单
CRON="/etc/cron.d/ddos.cron" //定时执行程序
APF="/etc/apf/apf"
IPT="/sbin/iptables"

##### frequency in minutes for running the script
##### Caution: Every time this setting is changed, run the script with --cron
##### option so that the new frequency takes effect
FREQ=1 //检查时间间隔，默认1分钟

##### How many connections define a bad IP? Indicate that below.
NO_OF_CONNECTIONS=150 //最大连接数，超过这个数IP就会被屏蔽，一般默认即可

##### APF_BAN=1 (Make sure your APF version is atleast 0.96)
##### APF_BAN=0 (Uses iptables for banning ips instead of APF)
APF_BAN=1 //使用APF还是iptables。推荐使用iptables,将APF_BAN的值改为0即可。

##### KILL=0 (Bad IPs are'nt banned, good for interactive execution of script)
##### KILL=1 (Recommended setting)
KILL=1 //是否屏蔽IP，默认即可

##### An email is sent to the following address when an IP is banned.
##### Blank would suppress sending of mails
EMAIL_TO="root" //当IP被屏蔽时给指定邮箱发送邮件，推荐使用，换成自己的邮箱即可

##### Number of seconds the banned ip should remain in blacklist.
BAN_PERIOD=600 //禁用IP时间，默认600秒，可根据情况调整
用户可根据给默认配置文件加上的注释提示内容，修改配置文件。



卸载

wget http://www.inetbase.com/scripts/ddos/uninstall.ddos
chmod 0700 uninstall.ddos
./uninstall.ddos


白名单设置：

有时候默认的白名单经常有失误，为了避免这个情况，我们可以手工设置白名单的ip，然后强制不允许修改

vi /usr/local/ddos/ignore.ip.list

手工设置白名单IP


chattr +i /usr/local/ddos/ignore.ip.list

强制不允许修改



chattr -i /usr/local/ddos/ignore.ip.list

解除不允许修改


手工用iptables屏蔽IP:


单个IP的命令是
iptables -I INPUT -s 124.115.0.199 -j DROP

恢复单个IP：

iptables -D INPUT -s 124.115.0.199 -j DROP


封IP段的命令是
iptables -I INPUT -s 124.115.0.0/16 -j DROP
iptables -I INPUT -s 124.115.3.0/16 -j DROP
iptables -I INPUT -s 124.115.4.0/16 -j DROP

封整个段的命令是
iptables -I INPUT -s 124.115.0.0/8 -j DROP

封几个段的命令是
iptables -I INPUT -s 61.37.80.0/24 -j DROP
iptables -I INPUT -s 61.37.81.0/24 -j DROP

原文地址：http://www.ctohome.com/FuWuQi/df/318.html

或许可以试试其它的呢。

1.wget http://blogimg.chinaunix.net/blog/upfile2/071213142033.gz

tar zxvf mod_evasive_1.10.1.tar.gz

2.安装

cd mod_evasive

/usr/local/apache2/bin/apxs -i -a -c mod_dosevasive20.c

3.配置
vi /usr/local/apache2/conf/httpd.conf

添加下面内容

LoadModule dosevasive20_module libexec/apache22/mod_dosevasive20.so

<IfModule>
DOSHashTableSize 3097
DOSPageCount 5
DOSSiteCount 100
DOSPageInterval 2
DOSSiteInterval 2
DOSBlockingPeriod 600
DOSEmailNotify 111@111.com
DOSLogDir "/var/log/mod_evasive"
</IfModule>

有时候，得配置成以下，可能和apache的版本有关系吧
<IfModule mod_evasive20.c>
DOSHashTableSize 3097
DOSPageCount 5
DOSSiteCount 50
DOSPageInterval 2
DOSSiteInterval 2
DOSBlockingPeriod 600
DOSEmailNotify 111@111.com
DOSLogDir "/var/log/mod_evasive"
</IfModule>
以上配置为每两秒一个ip只能刷新一个页面5次，每两秒一个ip只能打开一个网站总页面为50
4.重新启动apache2，配置完毕。
DOSEmailNotify 111@111.com
#设置受到攻击时接收攻击信息提示的邮箱地址。
DOSLogDir "/var/log/mod_evasive"#攻击日志存放目录，注意这个目录的权限，是运行apache程序的用户。
5.测试

打开IE ，访问网站http://test.com 不断快速刷新网页就会出现错误提示，说明防泛有效，查看/tmp目录会dow.ip 日志文件。

说明：

DOSHashTableSize 3097 记录和存放黑名单的哈西表大小，如果服务器访问量很大，可以加大该值
DOSPageCount 5 同一个页面在同一时间内可以被统一个用户访问的次数，超过该数字就会被列为攻击，同一时间的数值可以在DosPageInterval参数中设置。
DOSSiteCount 50 同一个用户在同一个网站内可以同时打开的访问数，同一个时间的数值在DOSSiteInterval中设置。
DOSPageInterval 2 设置DOSPageCount中时间长度标准，默认值为1。
DOSSiteInterval 2 设置DOSSiteCount中时间长度标准。
DOSBlockingPeriod 10 被封时间间隔秒，这中间会收到 403 (Forbidden) 的返回。
【应急响应篇】DDOS攻击应急响应指南
大河之犬的博客
05-25 2593
将排查过程中整理出的 IP 地址进行梳理、归类，方便日后溯源。由于在 DDoS 攻击中，攻击者多使用僵尸网络，因此为溯源带来很大难度。建议在遭受 DDoS 攻击时及时报案，并保留相关日志、攻击记录等。对可记录流量信息的设备进行排查，确定攻击时间，以便后续依据此时间进行溯源分析，并对攻击者行为、攻击方法进行记录。确认在 DDoS 攻击中受到影响的服务和带宽信息，以便后续排查并采取相应措施缓解。1、了解 DDoS 事件发生的时间。2、了解 DDoS 攻击的影响范围。
基于iptable防御DDos攻击的插件
antoni的专栏
04-12 881
http://www.oschina.net/code/snippet_171528_5609 本插件能实现在受到 cc、syn 半连接等拒绝服务攻击时，进行比较有效的防御。实际上，它并不具备阻截能力，它是基于 IPtables 防火墙，利用 netstat+过滤规则，与 IPtables防火墙实现联动。在有恶意拒绝服务攻击时，本软件会实时分析连接来源的企图。当连接IP 有明显的非正常连
一个自动封IP防御DDOS脚本
weixin_34297704的博客
01-19 383
算了还是不推荐使用，有时候出错乱封IP，居然把本机IP和网关IP都封了 DDoS deflate 工作原理 每分钟检测一次IP连接状况，当某些IP连接超过配置脚本限制的连接数，程序会自动禁止这些IP一段时间，以达到防御***的目的 DDoS deflate官方网站：http://deflate.medialayer.com/ Installation 安...
iptable防范ddos攻击
weixin_30294021的博客
10-29 171
iptable防范ddos攻击 Basic DoS Protection https://github.com/MPOS/php-mpos/wiki/Basic-DoS-Protection # Rule 1: Limit New Connections To Something Sane. iptables -A INPUT -p tcp -...
使用iptables防ddos攻击的问题
fanzhang1990的专栏
07-23 7626
最近要求做一个防ddos攻击的
linux系统怎么防止DDOS攻击.pdf
11-04
2. 使用iptable防火墙 Iptable是Linux系统默认的防火墙工具，可以用来屏蔽来自特定IP或IP地址段的对特定端口的连接。可以使用以下命令来限制来自特定IP的连接请求： iptables -A INPUT -i eth0 -p tcp --syn -j ...
网络安全——Iptables防DDoS攻击实验
网络工程
12-12 2909
根据TCP协议传输的特点，攻击方向目标发送大量伪造的TCP连接请求，即目标主机在发出SYN+ACK应答报文后无法收到ACK报文，第三次握手失败，从而使目标连接资源耗尽，无法正常响应TCP的连接请求。"net.ipv4.tcp_max_syn_backlog"定义了处于SYN_RECV的TCP最大连接数，当处于SYN_RECV状态的TCP连接数超过tcp_max_syn_backlog后，会丢弃后续的SYN报文。2）变化的IP发起攻击，控制单个IP的最大并发连接数，即在一定时间内允许新建立的连接数。
Linux下防御ddos攻击_公司linux系统中对外暴露的服务需要防止syn洪水攻击及cookie攻击,决定安全加固系
2401_85957787的博客
08-22 845
usr/local/ddos/ddos.sh -k n //杀掉连接数大于n的连接。http://www.inetbase.com/scripts/ddos/install.sh //下载DDoS deflate。IGNORE_IP_LIST=“/usr/local/ddos/ignore.ip.list” //IP地址白名单。/usr/local/ddos/ddos.sh -c //按照配置文件创建一个执行计划。/usr/local/ddos/ddos.sh -h //查看选项。
防御DDOS的代码程式
weixin_45967826的博客
07-27 942
iptables 防护 ysctl -w net.ipv4.ip_forward=1 &>/dev/null #打开转发 sysctl -w net.ipv4.tcp_syncookies=1 &>/dev/null #打开 syncookie （轻量级预防 DOS 攻击） sysctl -w net.ipv4.netfilter.ip_conntrack_tcp_timeout_established=3800 &>/dev/null #设置默认 TCP 连接最大
iptables白名单模板_iptables配置IP地址白名单放行百度云CDN加速
weixin_42295859的博客
01-17 1095
背景：使用vps性能不是太好，总是有恶意的访问增加流量，而此时呢，想用云加速，但一加速就被iptables分析日志干成黑名单了，有时一访问太快了给nginx拒绝了，实现方法见Url:http://justwinit.cn/post/7671/ 。如何防止误伤到去加速呢，百度提供出了他们的IP地址，我们可以用白名单写入到iptables里于是就好了。实践证明：https://justwinit.cn...
iptables 实现防御CC攻击
bugall的专栏
05-21 3242
一：前言 防火墙，其实说白了讲，就是用于实现Linux下访问控制的功能的，它分为硬件的或者软件的防火墙两种。无论是在哪个网络中，防火墙工作的地方一定是在网络的边缘。而我们的任务就是需要去定义到底防火墙如何工作，这就是防火墙的策略，规则，以达到让它对出入网络的IP、数据进行检测。 目前市面上比较常见的有3、4层的防火墙，叫网络层的防火墙，还有7层的防火墙，其实是代
iptables 防护基本 DDoS 配置
奋斗中拥有
01-24 2612
iptables 防护基本 DDoS 配置 Kernel Anti-DDoS 参数设置 (sysctl.conf) kernel.printk = 4 4 1 7 kernel.panic = 10 kernel.sysrq = 0 kernel.shmmax = 4294967296 kernel.shmall = 4194304 kernel.core_uses_pid
ip防刷脚本
weixin_33941350的博客
02-14 282
#!/bin/sh #防刷脚本 #env ACCESS_PATH=/home/wwwlogs ACCESS_LOG=y.log IPTABLES_TOP_LOG=iptables_top.log DROP_LOG=droplist.log HISTORY_LOG=history.log #ip白名单 noip=`cat no...
Linux下如何防止大量IP的并发访问（DDos）
悠悠余香
08-04 5802
 PDF版本 近期在Drupal大学上看到一个问题 《如何用varnish缓存或其他手段防止不友好人群模拟不同ip同时访问网站》， 问题的来源是一个无效的请求的导致drupal进程特别消耗服务器资源，导致cpu超高。由于近期也在研究iptable的ddos策略，所以就研究了一下，大概列举一下相关的解决方案。 首先，看看iptable解决办法。 对于要解决syn floo
linux设置dns，linux设置nameserver
mush_me的专栏
12-17 3093
1. 首先查看下/etc/resovl.conf 的内容 　　#cat /etc/resolv.conf 　　2. 重启网络服务 　　# service network restart 　　3. 再查看/etc/resolv.conf, 若还没有DNS地址则手动添加 　　# vi /etc/resolv.conf 　　nameserver 172.17.192.21 #==...
aix下自动补全和删除字符
mush_me的专栏
02-10 1485
AIX默认Ksh很不习惯使用，登录后可用 set -o vi 命令， 这样就可以用vi的语法来编辑命令行。例如：若要调出历史执行过的命令，命令行模式下按下 Esc 键后，可通过 ESC+k 上一条命令 ESC+j 下一条命令 ESC++ 上一条命令 ESC+- 下一条命令 ESC+\ 自动补全文件名 ESC+h 在命令行中往前移动光标 ESC+l 在命令行中往后移动光...
使用iptable 如何开放一个端口
最新发布
07-14
<think>我们被要求使用中文回答，并且根据提供的引用内容，用户希望了解如何使用iptables开放指定端口。根据引用，我们可以总结出几种方法： 方法1：修改/etc/sysconfig/iptables文件（引用[1]和引用[3]） 方法2：使用iptables命令直接添加规则，然后保存（引用[2]和引用[3]） 方法3：使用iptables命令添加规则，并设置多个端口或端口范围（引用[4]） 注意：在CentOS 7及以后版本，默认使用firewalld，但iptables仍然可用。如果系统同时启用了firewalld和iptables，需要注意冲突。我们这里假设用户使用iptables。 步骤通常包括： 1. 添加规则允许指定端口的流量（注意：规则有顺序，先插入的规则优先级高） 2. 保存规则，以便重启后仍然有效。 根据引用[3]和引用[4]，我们可以使用以下命令格式： 开放单个端口（例如80端口）： iptables -A INPUT -p tcp --dport 80 -j ACCEPT 但是，由于默认策略可能是DROP，我们通常会在设置允许规则之前确保不会阻断自己的访问。另外，引用[3]中使用了先DROP再ACCEPT，但顺序很重要，因为先插入的规则（使用-I）会放在前面。 更安全的做法是：先允许特定的端口，再拒绝其他端口。但通常我们不会在默认情况下拒绝所有，因为默认策略可能已经是ACCEPT，我们只需要添加允许规则。如果默认策略是DROP，那么我们需要明确允许的端口。 另外，引用[3]提到了一种场景：只允许特定IP访问某个端口，其他IP拒绝。但用户的问题只是开放指定端口（对所有IP），所以我们先不考虑IP限制。 因此，开放指定端口（例如80）给所有IP的步骤： 1. 允许进入的TCP流量到80端口： iptables -I INPUT -p tcp --dport 80 -j ACCEPT 或者使用 -A 参数（追加到规则列表末尾），但要注意如果末尾有拒绝规则，则需要在拒绝规则之前插入。因此，通常使用-I插入到规则链的头部（默认插入到第一行，可以指定行号）。 2. 保存规则（根据系统不同，保存方式可能不同）： 在CentOS 6中，可以使用： service iptables save 或者 /etc/init.d/iptables save 在CentOS 7及以上，如果使用iptables-services，可以使用： iptables-save > /etc/sysconfig/iptables 或者安装iptables-services后使用systemctl保存。 引用[1]中提到修改/etc/sysconfig/iptables文件，直接添加一行规则，然后重启服务。这种方法需要谨慎，因为直接编辑文件可能会因为格式错误导致问题。 因此，我们推荐使用iptables命令添加规则，然后保存。 具体步骤： 步骤1：检查当前iptables规则 iptables -L -n 步骤2：添加规则（开放端口，比如80） iptables -I INPUT -p tcp --dport 80 -j ACCEPT 注意：这里使用-I INPUT，表示在INPUT链的头部插入规则。如果希望追加到末尾，使用-A INPUT。 步骤3：保存规则 service iptables save # 对于CentOS 6 或者 iptables-save > /etc/sysconfig/iptables # 通用方法，但需要确保文件是系统默认的配置文件 步骤4：重启iptables服务 service iptables restart # CentOS 6 或者 systemctl restart iptables # CentOS 7（如果使用iptables-services） 注意：如果系统没有安装iptables-services（CentOS 7默认可能没有），需要先安装： yum install iptables-services systemctl enable iptables systemctl start iptables 另外，引用[4]中还提到了开放多个连续端口（端口范围）： iptables -I INPUT -p tcp --dport 10:21 -j ACCEPT 所以，根据用户需求，我们可以给出开放单个端口和端口范围的方法。 总结回答： 使用iptables开放指定端口的步骤： 1. 使用iptables命令添加规则（允许特定端口的流量）。 2. 保存规则到配置文件。 3. 重启iptables服务使规则生效。 注意：在操作之前，请确保当前登录会话不会被阻断（例如，如果操作SSH端口，确保在添加允许SSH规则之前不要阻断SSH端口）。建议先添加规则，再保存。 下面我们按照要求生成回答，并添加相关问题。</think>### 使用 iptables 开放指定端口的方法 在 Linux 系统中，使用 `iptables` 开放指定端口的操作步骤如下（以开放 TCP 80 端口为例）： #### 方法 1：通过命令添加规则（推荐） 1. **添加允许规则** 开放 TCP 80 端口给所有 IP： ```bash iptables -I INPUT -p tcp --dport 80 -j ACCEPT ``` - `-I INPUT`：在 INPUT 链首插入规则（优先级高） - `-p tcp`：指定 TCP 协议 - `--dport 80`：目标端口 80 - `-j ACCEPT`：允许通过 开放端口范围（如 8080-8090）： ```bash iptables -I INPUT -p tcp --dport 8080:8090 -j ACCEPT ``` 2. **保存规则** 将配置写入文件，确保重启后生效： ```bash iptables-save > /etc/sysconfig/iptables # CentOS/RHEL ``` 或 ```bash service iptables save # 部分系统支持 ``` 3. **重启服务** ```bash service iptables restart # CentOS 6 systemctl restart iptables # CentOS 7+ ``` #### 方法 2：直接编辑配置文件 1. 修改 `/etc/sysconfig/iptables`，添加： ```bash -A INPUT -p tcp -m tcp --dport 80 -j ACCEPT ``` 2. 重启服务： ```bash service iptables restart ``` #### 验证规则是否生效 ```bash iptables -L -n | grep 80 # 应显示：ACCEPT tcp -- 0.0.0.0/0 0.0.0.0/0 tcp dpt:80 ``` #### ⚠️ 注意事项 1. **操作安全** - 开放端口前确保已允许 SSH 端口（默认 22），避免被锁在系统外[^4]。 - 若需限制 IP 访问（如仅允许 `192.168.1.100`）： ```bash iptables -I INPUT -p tcp -s 192.168.1.100 --dport 80 -j ACCEPT iptables -A INPUT -p tcp --dport 80 -j DROP # 拒绝其他IP ``` 2. **规则优先级** `iptables` 规则按顺序匹配，`-I` 插入的规则优先于 `-A` 追加的规则[^3]。 3. **协议支持** UDP 端口需替换 `-p tcp` 为 `-p udp`，例如： ```bash iptables -I INPUT -p udp --dport 53 -j ACCEPT # 开放DNS端口 ``` --- ### 相关问题 1. **如何永久保存 iptables 规则？** > 答：通过 `iptables-save > /etc/sysconfig/iptables` 保存配置，并重启服务[^2]。 2. **如何仅允许特定 IP 访问某端口？** > 答：组合使用 `-s IP` 和 `-j ACCEPT`，再添加拒绝规则（参考注意事项 1）[^3]。 3. **iptables 如何开放 ICMP 协议（Ping）？** > 答：使用 `iptables -I INPUT -p icmp -j ACCEPT`[^4]。 4. **CentOS 7+ 中 firewalld 与 iptables 如何共存？** > 答：需禁用 firewalld：`systemctl stop firewalld; systemctl disable firewalld`，再启用 iptables 服务。 5. **如何批量开放多个离散端口（如 80,443,3306）？** > 答：使用 `multiport` 模块： > `iptables -I INPUT -p tcp -m multiport --dports 80,443,3306 -j ACCEPT`
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值