一个笨拙的抵挡 DDoS 的方法

[kongque2016]

我的 vps 上架设的是论坛，我想到一个方法来抵挡 DDoS 攻击，下面是步骤：

1，事先给 TCP 连接数设一个上限，发现被突破了，就认定为有人在 DDoS。
2，检查当前所有 http 连接，如果是注册会员，则把相应 IP 送入紧急白名单。否则，断开连接。
3, 接收到新的 http 访问时，核对其 IP 是否在白名单里。如果不是，转向一个登录（或注册）页面，要求他 3 分钟必须登录进来，否则禁掉这个 IP。

这个方法的 bug，我现在想到有两个：
1，DDoS 的攻击者是不是能轻易伪造自己的 IP 呢，如果这样的话，这个方法就没意义了。
2，我 VPS 的防火墙禁了这些 DDoS 的 IP，是不是照样的产生流量。就是说，禁 IP 虽然能保全 VPS 自己，但网络端口照样有大量 IP 包涌过来(虽然我不收），网络照样被堵住？

我对 DDoS 不熟悉，这个方法是凭空想出来的。请大家轻拍～

[keramist]

@kernel 理论上只要你能上网 灭掉阿里都行 只要你比马云钱多

[towser]

@kongque2016 自己乱构造 IP 包基本是发不出去的，机房也会做验证。

[liuyanjun0826]

@Srar 谁会把 ACK ？

[Tianao]

@kernel 你的意思应该是 DoS，但问题有三：你在明处、你只有一个 IP （即使是动态的）、法律合规。

[ithou]

cdn 应该很简单了

[chinvo]

@Srar #40 好吧，SYN flood 也算 DDoS

[beastk]

挡不住 ddos，几万上百万访问，一般的服务器都挡不住。

[Admstor]

楼主需要好好复习网络协议

攻击者并不需要伪装自己的 IP,也没有必要伪装
而是大量肉鸡集中在一个时间段对你的服务器发起大量请求,这些请求在还未到达你服务器的时候,就已经已经道路拥堵,本机的所有设置都只是杯水车薪
你的方法只对 CC 类型的攻击有一些效果

DDOS 只有运营商层面能有比较好的效果

[kernel]

@Tianao 我是指只有我一个 IP 能否对一个网站输出全部我的带宽伤害，不管对方做什么防御

[keramist]

@kernel 小网站 f5 都可以搞死

[liuyanjun0826]

@kernel 不能，有可能被反向 ddos

[mytsing520]

CC 攻击可以考虑 ipset
DDoS ……实打实的流量型攻击，世界级难题

[trys1]

这个方法只能某种程度地防 cc
并不能防 ddos
不知道我的说法对不对？

[liuyanjun0826]

@trys1 当然是不对啦，这个方法只能防 udp

[CESAFE]

@kongque2016 安全组了解下。或者 iptables 了解下

[webjin1]

@realpg 不能伪造 ip,都是控制肉鸡，肉鸡真实存在，肉鸡发出去的攻击包 ip,源地址也是真实的 ip

[webjin1]

那些说伪造 ip 的，就算假如能伪造 ip 不用 N 多肉鸡打，直接用发起控制机打，比如发起者端口带宽是 10M 目标服务器端口带宽是 100M 你发出去的包源 ip 是伪造的，ddos 也攻击不死目标，最多是无法查出你真实 ip。而发动 ddos，用肉鸡就是叠加带宽群殴一个目标。

[Mac]

DDOS 的威力是根本分辨不了哪些 IP 是正常业务，哪些是被控的肉鸡，犹如 T 病毒扩散后，你想分检从浣熊市里冲出来的人谁有病毒，不可能的，全杀。

[Srar]

@webjin1 伪造 IP 是为了反射攻击时候把 dst ip 替换成受害者机器 /t/434111 了解下

[webjin1]

@Mac 这个要看清洗设备，我见过一些机房的防火墙清洗能力还是可以，识别率，和误封虑不错，当然肯定不是 100%。