一直忍受被人攻击着，高手有办法解决吗？

chirejian

从头到尾 就是上面的数据 刷满屏 郁闷很  平常9.6M的下载速度 变成200k  郁闷啊郁闷

晨想

1。封IP。。。。为啥没用？他换IP？
2。swatch，是跟踪文件的改变，然后作出相应的判断。如果你的log文件没输出的话，当然就没东西了。
3。apache的流量控制，不知道是否有用。

我也想知道如何解决。。。。

yzkzero

Post by 终极幻想
1。封IP。。。。为啥没用？他换IP？
2。swatch，是跟踪文件的改变，然后作出相应的判断。如果你的log文件没输出的话，当然就没东西了。
3。apache的流量控制，不知道是否有用。

我也想知道如何解决。。。。

1、对方有可能是拨号，IP不固定
2、对方可以使用代理，IP也不固定
3、如果对方在内网，比如教育网，你一封IP，可能导致一个学校的人都被你封杀了
4、即使按照IP包流量来计算，也很小，如果按TCP流量来计，就是0，因为都是ack包，没有数据的。


从上面的攻击来看，是使用了攻击程序，而且程序写的并不高明，因为序号都是固定的，不是随机的，这样可以通过防火墙来处理，有些防火墙可以智能识别这种攻击手段，因为俺对linux的防火墙不太了解，所以不清楚哪个可以。一般硬件防火墙可以防范。

但如果对方的程序写的比较高明的话，比如随机的序号，就很难识别了，现在对于DDOS的话，一般都是拼资源的。


最后，我觉得楼主似乎是被内网的用户所攻击，一般外网的Internet用户没有那么高的攻击频率的，而且也不可能将服务器弄死，除非是大量的机器进行攻击，由于IP包可以伪造，所以所记录的IP地址也可能是伪造的！

晨想

我也觉得是内网的攻击，拨号等没这个速度。

宁可杀错，不放过，，一个学校就一个学校，等那个学校的网关解决了这个问题再说。

至于是否假冒的IP，这个谁也不知道，呵呵。。DDOS的说。。

springwind426

是否有connlimit这个扩展

晨想

楼主的情况，算不算连接呢，，，，？

转贴一下：
3. connlimit(同时连接个数限制匹配)
[root@kindgeorge patch-o-matic-ng-20050331]# cat connlimit/info
Title: iptables connlimit match (标题: iptables同时连接个数限制匹配)
Author: Gerd Knorr <kraxel@bytesex.org> (作者:名字,email地址)
Status: ItWorksForMe[tm] (状态:我可以运作)
Repository: base (贮仓库: 基础的)
[root@kindgeorge patch-o-matic-ng-20050331]# cat connlimit/help
This adds an iptables match which allows you to restrict the number of parallel TCP connections to a server per client IP address(or address block).
翻译:这个增加一个iptables匹配允许你限制每个客户ip地址的并发tcp连接,即同时连接到一个服务器个数.
Examples: 例子:
# allow 2 telnet connections per client host (允许每个客户机同时两个telnet连接)
iptables -p tcp --syn --dport 23 -m connlimit --connlimit-above 2 -j REJECT
# you can also match the other way around你也可以匹配其他的方法
iptables -p tcp --syn --dport 23 -m connlimit ! --connlimit-above 2 -j ACCEPT
# limit the nr of parallel http requests to 16 per class C sized (这下面例子限制80端口最多同时16个连接请求)
# network (24 bit netmask)
iptables -p tcp --syn --dport 80 -m connlimit --connlimit-above 16 --connlimit-mask 24 -j REJECT
模块 connlimit 作用:连接限制
--connlimit-above n 限制为多少个
--connlimit-mask n 这组主机的掩码,默认是connlimit-mask 32 ,即每ip.
这个主要可以限制内网用户的网络使用,对服务器而言则可以限制每个ip发起的连接数...比较实用
例如:只允许每个ip同时5个80端口转发,超过的丢弃:
iptables -I FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 5 -j DROP
例如:只允许每组C类ip同时10个80端口转发:
iptables -I FORWARD -p tcp --syn --dport 80 -m connlimit --connlimit-above 10 --connlimit-mask 24 -j DROP
例如:为了防止DOS太多连接进来,那么可以允许最多15个初始连接,超过的丢弃.
/sbin/iptables -A INPUT -s 192.186.1.0/24 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP
/sbin/iptables -A INPUT -s 192.186.1.0/24 -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

yzkzero

to 楼上的：

这个还是要看具体实现的

如果是按照实际连接的数量来计算，那同样没用，因为对方更本就不建立连接。

晨想

所以我一开始就问了：
楼主的情况，算不算连接呢，，，，？

因为我也不确定这个是否管用。。