软件与硬件设备DDOS &防火墙

Question

我运行了几个Ubuntu服务器(虚拟化)，并安装了fail2ban来缓解DDOS。对于防火墙，每个服务器都有iptable。

我正在评估我的安全选项，并想知道fail2ban如何有效地保护您免受DDOS攻击和专用硬件设备的攻击？而且，硬件防火墙会比iptables提供更好/更多的保护(还是只是在堆栈中的更高的位置)？

Answer 1

我想你听了太多的营销废话了。

在你所说的硬件防火墙和软件防火墙之间没有真正的区别。两者都是由软件驱动的。

所谓的硬件防火墙也是一台计算机，但没有一些外围接口，如USB或SATA。他们中的许多人甚至在幕后运行Linux和IPTables，但提供了一个很好的web界面。其他人提供了他们自己的操作系统，在我看来，这些操作系统的功能可能比iptables少，而且没有更多的测试。

那么有什么好的理由去购买“硬件防火墙”呢？也许吧。一般来说，它们得到了良好的支持，并提供了非常完善的用户界面和良好的支持。它们在你的架子上看起来也很圆滑。但是，现在已经有了真正完善的linux/freebsd发行版，它们提供了相同的功能，您可以在普通计算机或自定义硬件上运行它。没有纠结，阿斯塔罗，莫诺瓦尔，pfSense等，我看不出有多大的优势。

现在，当它归结为一个DDoS附加，是绝对没有办法来保护它。如果您能够阻止这些数据包在源发送，那么这将是答案，但您不能。

几年前，我记得一家大公司在IT界引起轰动，几天内他们的网站就被DDoS攻击淹没了。最后，他们不得不放弃他们的主要域名，并将其改为另一个域名。即使是他们也无法用他们庞大的it预算来解决这个问题。

Answer 2

如果这是一个真正的DDoS攻击，您的本地网络上的任何东西都无法阻止它。您需要您的上游供应商的合作。当数据包被丢弃在你的末端时，它们仍会堵塞你的管道。

使用硬件防火墙与软件防火墙(特性、易于管理、日志记录的中心点等)有很多原因，但就DDoS而言，两者都不足以应对任何规模的真正攻击。