减少 DDoS 攻击有哪些简单有效的措施？

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

Distributions

› Ubuntu

› Fedora

› CentOS

中文资源站

› 网易开源镜像站

这是一个创建于 2295 天前的主题，其中的信息可能已经有所发展或是发生改变。

早上好。

像平时翻墙用的 ssh 服务器，改掉 ssh 默认端口，上传密钥，禁掉密码登录，再封掉其它端口，基本能保证不会被黑进去。这些措施算是减少 ssh 端口攻击的基本措施。

那么，类似的，网站 /论坛服务器有什么减少 DDoS 的基本措施吗？

之前在版块里问过大家一些 DDoS 的问题，主要的解决（其实即近似无解对吧）手段各位也都说了，当真有人想 D 你的时候，是躲不过去的。我想问的是，有哪些基本防范措施，能有效增加别人 D 你的难度？以及减少别人 D 你的兴趣和机会？

我有一些歪门邪道的猜想，来抛砖引玉：
1，如果是静态网站，托管到 github page 或者一些博客下建立次级域名，这样别人是不是就不能直接 DDoS 你了？乱猜的，千万不要喷我。。。
2，上 cdn，隐藏 ip。这个性价比怎么样？
3，vps 服务商提供有网页版的控制面板，我们就写一个变态的脚本，监测带宽使用，发现异常，就远程关机，然后不定时开机。这样至少能保证流量不会被打穿,月底去交 bill。

第 1 条附言 · 2018-08-20 13:22:31 +08:00

希望有经验的朋友能讨论一下第一条，把网站托管在 github page 或其它比较大的博客平台的下面。
这样，网站没有独立 IP，就不会遭到 DDoS 了对吗？是不是对简单的静态网站比较适用呢？
进一步推论，用“虚拟主机”，代替 vps 来建站，是不是要省些心呢？不用担心 DDoS ？

ddos

ssh

措施

端口

46 条回复 • 2018-08-27 15:54:36 +08:00

Laynooor

2018-08-20 08:07:12 +08:00 via Android

第三点，关机了还是有路由的，流量打过来机房还是会把你扔黑洞里。

kongque2016

2018-08-20 08:14:04 +08:00

@Laynooor 就是说，我关不关机，这个流量都要我掏钱是吗？就没有一点儿办法了吗？

Wincer

2018-08-20 08:15:48 +08:00 via Android

我记得 github pages 的流量也是有限制的，好像是 100g

RiESA

2018-08-20 08:20:53 +08:00

cdn 最实际了,cloudflare 免费,不过访问较慢,如果域名有备案,国内一些服务商也有提供免费 CDN

kongque2016

2018-08-20 08:23:27 +08:00

@Wincer 对，是 100g。不过感觉 github 下面的网站，不怎么会引起黑客的兴趣。而且我猜 DDoS 是 github 帮着抗。

cnbeining

2018-08-20 08:26:35 +08:00

干脆不监听公网 IP 就得了。

harde

2018-08-20 08:57:39 +08:00

DDoS 是属于攻击代价低廉，防范代价高昂的攻击方式。
某种角度属于无解。
因为公司常年被 DDoS，所以针对楼主说的几个猜想我简单回答下。
1、是的。但是攻击流量需要 GitHub 来扛，虽然 GitHub 每年遭受的攻击真不差楼主这点。
2、没有性价比，扛得住的流量费你受不了，扛不住的也没意义。
3、关不关机跟流量没关系，运营商发现后直接黑洞。 @Laynooor 已经说了。

目前我们的解决方案是一年掏个十几万的买高防 IP。比较浪费钱，但至少保证服务稳定可用。

Judoon

2018-08-20 09:03:26 +08:00 via Android

纯流量型的 ddos 完全没有措施减少，只能上流量清洗设备或者高带宽来防护。你说的三个方案都是防护，并不能本身去减少攻击啊！

abccccabc

2018-08-20 09:16:58 +08:00

楼主，要不试用下 nginx 的 limit_req_zone，我以前用过。

H0TSp1RnG

2018-08-20 09:32:43 +08:00 via Android

换成服务器主动发起呢

ithou

2018-08-20 09:56:48 +08:00 via Android

我们 cc 域名无法备案是硬伤～用不了国内 cdn

sen2

2018-08-20 10:00:35 +08:00

别装逼别引起别人注意

components

2018-08-20 10:03:59 +08:00

1.CDN
2.流量清洗

photon006

2018-08-20 10:24:33 +08:00

配置 nginx：
limit_req_zone：同一 IP 每秒限制最大请求数
limit_conn_zone：限制同一 IP 最大连接数

能起到一定作用。

也有弊端，局域网出口 IP 相同，如果多个用户同时访问会遇到 503，把限制放宽点，免得误杀。

inkedawn

2018-08-20 10:40:33 +08:00

关机这个……
攻击者的目的本来就是想让你服务无法使用吧……人家一打你就乖乖关了，这么听话……
如果为了省流量的话，楼上也说了……

f2f2f

2018-08-20 10:45:08 +08:00

防御加钱可及

blackhacker

2018-08-20 10:54:25 +08:00

3 写个变态脚本一开机就开始攻击手动狗头 /dog

kongque2016

2018-08-20 12:33:57 +08:00

@harde ”是的。但是攻击流量需要 GitHub 来扛，虽然 GitHub 每年遭受的攻击真不差楼主这点。“
谢谢回复，进一步问，托管在 GitHub 上的网站，没有独立的 IP，就是说，攻击者没有办法直接用 DDoS 的方式，攻击我的网站对吗？

leido

2018-08-20 12:50:25 +08:00

既然你敢随时关机，发现攻击了改 dns 指向被墙的网站不就行了，比如脸书。

leido

2018-08-20 12:52:22 +08:00

当然你域名 TTL 要足够短，比如一分钟

kongque2016

2018-08-20 12:57:31 +08:00

@leido 可以这样？我研究一下。

leido

2018-08-20 12:57:37 +08:00

个人觉得就算你不用 cdn，有一个前端代理也是好的，代理挂了就挂了，换个代理就行了。

xenme

2018-08-20 13:04:53 +08:00 via iPhone

@kongque2016 直接打 IP 就行了。

harde

2018-08-20 14:25:44 +08:00

@kongque2016 可以这样理解。不过这里同时有几个问题。
1、放在 Github 的静态站点没有什么值得攻击的。
2、如果的确攻击的频率、流量引起 GitHub 的注意，GitHub 说不定也会关停你的页面。

harde

2018-08-20 14:28:18 +08:00

@kongque2016 实话说，其实楼主既然已经在问 DDoS 攻击的事了，按理说也应该具备，至少粗浅的具备运维知识了。
不太应该问出这个问题的，而如果楼主作为开发人员，其实也不太需要在意这些事情。。。

Jimrussell

2018-08-20 14:56:14 +08:00 via Android

竞争对手比较单一的话，就搞清楚了就花点钱 D 回去。这个是成本最低的方法。

imdong

2018-08-20 15:22:07 +08:00

要么干掉打来的流量（用宽带扛下来）。
要么干掉攻击的人。

wafm

2018-08-20 15:32:01 +08:00

曾经混过一段时间的灰产分享一些

1.Github 发现你的域名异常，会第一次时间拉黑（可以理解成域名黑洞），可能你这个域名以后无法再也解析到 Github。

2.上 CDN 是个好办法，防 Ddos，不防 CC （除非你纯静态可缓存），我个人推荐是 CDN+WAF，这是成本相对较低实用性较大的办法。

3.这个完全就是自欺欺人，1 楼说的很清楚了，流量到机房自然就黑洞了。

4.上面有人提到 DNS 解析到别人的 IP 去，其实这是个非常危险的行为，很多人可能意识不到，当你指向别人的 IP，不管是 GOV 的也好还是比较知名的大服务商，万一真这个第三方真的挨打受损了第一个抓的可不是打你的人，而是你这个指向的人，因为你想想是一个域名的信息好查，还是控制流量躲在背后的人好查？事情发生了总要拉个背锅的。

5.真实流量打过来，什么软件防御都是无效的，打个比方，一个泳池放水能力是 1 立方 /S，水管就这么大，大于 1 立方的都得等着，如果水太多漫出来影响到其他泳池，那么不好意思，肯定不让你继续进水了，因为其他泳池受影响了。

6.DNS 一样可以进行查询攻击，服务商也会停止你的解析。

7.单条家庭带宽是打不出“量”的威力的，除非你 JJ 数量真的非常巨大，“量”主要看上传速率，参考国内运营商，如果你长时间或者固定时间上传保持在高速率，会被运营商风控盯上拉黑限速，一些拿家庭带宽做个人网站的同理都是被风控盯上，这里就不多说了。

8.所谓 100G 200G 甚至 300G 防御的机器怎么才几百块或者是千把块？我告诉大家，这类机器价格=机器成本（含机房成本）+流量成本+商家利润，是的，这类机器或许可以帮你挡几波攻击，一旦流量成本被消耗完毕，那你这个机器基本上是属于黑机，什么意思，就是说帮你挡完你该享有的流量成本后，随便一碰就会凉凉黑洞。

9.目标比较好的防御方式我分享一下，WEB 服务参考分享 2，如果是 C/S，我个人推荐是分布式，也就是市场上现在的各种盾，原理也就是 N 个前端反代结合后端的源机，做到隐藏源机 IP 的作用，所有人不在同一台服务器即使被 D 损失也相对较少，而且攻击者会无从下手，当然这个成本是不低的，说一下百度上面的“游戏盾”几百块一个月的节点挨不了多少打的，DDOS 的对抗就是成本问题。

10.总结一下，在 DDOS 界里，充斥着不少不诚信的行为，不管是想攻击别人上当受骗的，还是被不良商家忽悠买机器的。

kongque2016

2018-08-20 15:46:09 +08:00

@harde 我是开发人员，但业余要维护一个网站（论坛）。

RobertYang

2018-08-20 15:51:19 +08:00 via Android

真正的 DDoS 没有什么防护措施，除非跟运营商合作做流量牵引，或者有机房做流量清洗，不然真没什么办法

kongque2016

2018-08-20 15:55:07 +08:00

@wafm 其实我如果上 cdn 的话，主要是要他隐藏 IP 的功能，至于“抗揍”的功能不奢求（因为没钱砸）。IP 一隐藏的话，起码不会让人随便摸一下打一下，就好比夜晚把衣服收回屋子里，是防止无心的路人起贼念，但不防大盗，想偷就偷，反正我这衣服也不值钱，明天再买一件就是了。

kongque2016

2018-08-20 16:00:29 +08:00

@wafm 干货好多，赞一个。

wafm

2018-08-20 16:04:08 +08:00

@kongque2016 那其实你可以参考一下负载均衡，那个应该更便宜一些。。

harde

2018-08-20 16:35:32 +08:00

@kongque2016 那么最好的办法，就是让甲方加钱。甲方要是觉得贵，你省事了。甲方要是掏钱了，你也省事了。

woshipanghu

2018-08-20 19:27:04 +08:00

上个百度云加速简单直接有效哪还需要这么折腾啊
有钱的上知道创宇

raptor

2018-08-20 21:13:51 +08:00

其它的大家说得差不多了，我说最后一点吧：

不要把虚拟主机想得太好，我用过一个号称国外不限流量的名牌虚拟机主机，曾经被攻击过，流量可能才 10G 吧，就被服务商拉黑了。

xinghai10086

2018-08-21 00:24:44 +08:00

@RiESA cloudflare 访问慢很多，cloudflare 的付费没用过不知道速度上差的多不多。自建 cdn 技术或者资料有推荐的么

xinghai10086

2018-08-21 00:25:43 +08:00

@harde 使用高防 ip 访问速度会降下来么？自建 cdn 靠谱不

shiny

2018-08-21 01:19:56 +08:00

@wafm 请教下，有段时间我们一个网站经常性被 DDoS，打趴下的有阿里云和 cloudxns，最后切到百度云加速后攻击就无法继续，国内还有哪些性价比比较高的防护服务？

harde

2018-08-21 08:38:28 +08:00

@xinghai10086 不会降低速度，至少用户无感。自建 CDN ？怎么个建法？应该不是机房吧？用多台异地主机？之前我们被攻击，峰值流量 50G 左右，你得多少个主机抗。。。

tyzrj766

2018-08-21 09:04:19 +08:00 via Android

基本防御就是用 CDN 隐藏真实 IP，不要暴露主机的 IP，不要作死求打，剩下的看天。如果你没钱，抗不住的，那些高防的也是有一定条件的，即使可以防御如果不做定制规则，对网站影响还得挺大的。而且基本都得砸钱。
被打就是关机睡觉，虽然关机是没用的，只是一种无奈的自嘲罢了。在一些竞争激烈的地方互相 DDCC 也是日常了。

wafm

2018-08-21 15:56:07 +08:00

@shiny 百度云加速做的是不错的，我很推荐。

前身是安全宝，也就是知道创宇合作的产品，现在又和 cloudflare 合作可以说是挺好用的了其他的不清楚当时我也用的是百度云加速只要设置得当效果不错的。

c00WKmdje2wZLrSI

2018-08-24 14:37:03 +08:00

@ithou cc 不能备案？我前两个月才刚备案了个 cc

ithou

2018-08-24 14:57:10 +08:00 via Android

@c00WKmdje2wZLrSI 对啊我阿里云买的，不能认证不能备案 😅

xinghai10086

2018-08-24 22:36:03 +08:00

@harde 你们后面是用的哪家 cdn，如何处理抗住 50g 流量

harde

2018-08-27 15:54:36 +08:00

@xinghai10086 阿里高防 IP