系统水浸问题

Question

我最近购买了一台具有"DDoS保护“和1 1gbps上行链路的服务器。

我不知道的是，我正遭受着洪水的折磨。难道我不能利用大量的带宽来消除这些攻击吗？有什么我能阻止他们的吗？我有CSF，并设置了适当的规则，虽然我知道软件防火墙不多。

Answer 1

简单的拒绝服务-攻击消耗带宽。

但是更复杂的攻击会消耗其他资源，比如CPU、时间和内存。SYN洪流的目标是耗尽内存(在某些情况下，CPU时间在硬件防火墙上)。

然而，对于攻击者来说，如果受害者有很大的带宽，则更容易用SYN-数据包淹没受害者。

如何建立TCP连接？

TCP使用三种握手方式：

Client --------- SYN -------> Server
Client <------ SYN,ACK ------ Server
Client ------- ACK,... -----> Server

处理创建连接的传统方法如下：

服务器收到SYN数据包后，必须分配一些内存来存储有关连接的信息(例如客户端IP、客户端端口、服务器IP、服务器端口)。它通过将SYN发送回初始数据包中指定的源IP地址来确认SYN数据包。

SYN洪流由大量SYN数据包组成，服务器必须为其分配内存。客户可以直接发送和忘记他们。此外，源IP地址可以设置为任何东西(除非攻击者的ISP有过滤器)。

为什么服务器必须记住半开连接？

服务器需要验证步骤3中的ACK-数据包的发送方是发送SYN-数据包并接收SYN数据包的发送方。这就是TCP试图防止伪造IP地址和数据包注入的方法.

(这种保护对访问数据包传输所通过的路由器的攻击者无效)。

如何防范SYN-洪水？

服务器将所需的信息以加密保存方式发送回TCP-序列号字段，而不是分配内存和存储关于半打开连接的信息。

因此，当接收到最终的ACK-数据包时，它可以提取所需的信息，验证它并建立连接。

维基百科有一篇关于SYN曲奇的好文章。

Answer 2

综合洪水攻击的典型迹象包括大量的半开放接收系统(SYN_RECV)连接。另外要注意的是，大多数IPS都会检测和阻止洪水泛滥.

• 将tcpip堆栈强化为syn攻击
• RFC 4987

Answer 3

阅读CSF文档，然后盲目地启用这一点！我见过很多使用CSF的人不知道他们到底在做什么。

它总是取决于设置，但就我个人而言，我不会启用比SYN更多的功能(任何可能是防火墙级别上的深思熟虑的SYN过滤器)，除非机器受到攻击。做好准备总是很好的，但不要在战斗前放弃你的防守。