一个笨拙的抵挡 DDoS 的方法

[kongque2016]

我的 vps 上架设的是论坛，我想到一个方法来抵挡 DDoS 攻击，下面是步骤：

1，事先给 TCP 连接数设一个上限，发现被突破了，就认定为有人在 DDoS。
2，检查当前所有 http 连接，如果是注册会员，则把相应 IP 送入紧急白名单。否则，断开连接。
3, 接收到新的 http 访问时，核对其 IP 是否在白名单里。如果不是，转向一个登录（或注册）页面，要求他 3 分钟必须登录进来，否则禁掉这个 IP。

这个方法的 bug，我现在想到有两个：
1，DDoS 的攻击者是不是能轻易伪造自己的 IP 呢，如果这样的话，这个方法就没意义了。
2，我 VPS 的防火墙禁了这些 DDoS 的 IP，是不是照样的产生流量。就是说，禁 IP 虽然能保全 VPS 自己，但网络端口照样有大量 IP 包涌过来(虽然我不收），网络照样被堵住？

我对 DDoS 不熟悉，这个方法是凭空想出来的。请大家轻拍～

[gamexg]

@kongque2016 同时应该还会给个邮件，告知被攻击了，请换一家 vps 提供商，好些的还会给你提供退款方式。

[realpg]

@kongque2016 #18
需要回来么 2333

[gamexg]

@kongque2016 源 ip 可以任意填，但是靠谱的 isp 都会检查源 ip 是否 2 正确，乱填的会被 isp 丢弃。但是极少数 isp 没做这个检查，所以存在伪造的情况。

[feifei8868]

一般 DDOS 现在都是利用反射 宽带攻击型 性能消耗型的少（性能消耗性的比较好处理） 把带宽打满 不管是独立还是 vps 还是云 自己都是没办法 只能找机房或云服务商（我们在传统机房的机柜租用，只要遇到了机房是先封了再说 哈哈 然后让你想办法）

[haimall]

你还没来得及判断 就已经满负载了。

[a22124497]

一般说 DDOS，就是流量大，把你的带宽占满，CC 才是 CPU 资源类的攻击，
攻击小了不用防，大了防不住，基本上是这样的吧

[chinvo]

@realpg #16 DDoS 是实打实的流量，TCP 握手的时候源 IP 是无法伪造的

参见 https://security.stackexchange.com/questions/37481/is-it-possible-to-pass-tcp-handshake-with-spoofed-ip-address

[realpg]

@chinvo #27
那只能说 你开心那就是这样好了……

[c0878]

防 cc 可以这样防 带宽扛得住就行
真大流量 flood 攻击过来 还是上高防吧

[crab]

@realpg 伪造 IP 你是说 syn flood 吧

[MelodyCat]

要么加防御硬扛，要么切换 ip 躲避。我有个游戏云服就是攻击来了自动切 ip，要不然很快就堵死了。。。

[keramist]

要么花钱 要么关站 一般都是混合攻击 小流量挡得住 大流量 洗洗睡

[realpg]

@crab #30
并不是

[liuyanjun0826]

伪造 ip 是什么？ ip 还有假的？

[kongque2016]

@lscho 多谢指路，铜币已奉上。

[azh7138m]

老子就是要用 iptables 来防 ddos.webp

[kongque2016]

@MelodyCat 可是论坛域名固定，切了 IP，攻击者 ping 一下，就又知道 IP 了。

[kernel]

话说如果我办了一条大带宽的比如 500M 的家用宽带，是不是就可以 0 成本灭掉任何看不顺眼的小网站了？

[feifei8868]

@kongque2016 使用 CDN 哇 隐藏自己的真实 IP 小流量用 CDN 可不错啊

[Srar]

@chinvo IP 可以伪造

只能说第一次 SYN 握手可以伪造 第二次回 ACK 会把 ACK 的 Seq 编号返回到伪造的 IP 上 第三次握手需要返回第二次的 Seq+1 所以不能建立 TCP 链接