Linux dispose de plusieurs réglages de sécurité pour prévenir les attaques DDoS

Admin · Publié sur 13/11/2014 18:03:02

Modifier le paramètre sysctl
$ sudo sysctl -a | grep ipv4 | grep syn

La sortie est similaire à la suivante :

net.ipv4.tcp_max_syn_backlog = 1024
net.ipv4.tcp_syncookies = 0
net.ipv4.tcp_synack_retries = 5
net.ipv4.tcp_syn_retries = 5

net.ipv4.tcp_syncookies est de savoir s’il faut activer la fonction SYN COOKIES, « 1 » est activé, « 2 » est désactivé.
net.ipv4.tcp_max_syn_backlog est la longueur de la file SYN, et augmenter la longueur de la file peut accueillir davantage de connexions réseau en attente d’être connectées.
net.ipv4.tcp_synack_retries et net.ipv4.tcp_syn_retries définissent le nombre de tentatives SYN.

Ajoutez ce qui suit à /etc/sysctl.conf, puis exécutez « sysctl -p » !

net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 4096
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 2

Améliorer la connectivité TCP

net.ipv4.tcp_rmem = 32768
net.ipv4.tcp_wmem = 32768
net.ipv4.sack=0 #我的Centos 5.4 indice ne contient pas ce mot-clé

Utilisez iptables
Commander:

# netstat -an | grep « :80 » | GREP ÉTABLI

Voyons quelles IP sont suspectes~ Par exemple : 221.238.196.83 a beaucoup de connexions à cette IP et est très suspecte, et je ne veux pas qu’elle soit connectée à 221.238.196.81 à nouveau. Commandes disponibles :

iptables -A INPUT -s 221.238.196.81 -p tcp -d 221.238.196.83 --dport 25 --syn -j ACCEPT

C’est faux

Je pense que ça devrait être écrit comme ça

iptables -A INPUT -s 221.238.196.83 -p tcp -j DROP

Jetez les paquets à partir du 221.238.196.83.

Pour les attaques SYN FLOOD qui forgent l’adresse IP source. Cette méthode est inefficace

Autres références

Prévenir l’inondation de synchronisation

# iptables -A FORWARD -p tcp --syn -m limite --limite 1/s -j ACCEPT

Il y a aussi des personnes qui écrivent

# iptables -A ENTRÉE -p tcp --syn -m limite --limite 1/s -j ACCEPTER

--limite 1/s limite le nombre de concurrents syn à 1 par seconde, ce qui peut être modifié selon vos propres besoins pour éviter divers scans de ports

# iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limite --limite 1/s -j ACCEPTER

Ping de la Mort

# iptables -A FORWARD -p icmp --type icmp-request d’écho -m limite --limite 1/s -j ACCEPTER

BSD

Fonctionnement :

sysctl net.inet.tcp.msl=7500

Pour que le redémarrage fonctionne, vous pouvez ajouter la ligne suivante à /etc/sysctl.conf :

net.inet.tcp.msl=7500

[Linux] Linux dispose de plusieurs réglages de sécurité pour prévenir les attaques DDoS

Articles connexes

Sections vues