服务器怎么防DDoS攻击

# 源站只放行 CDN 回源 IP（iptables 示例，IP 段换成厂商公布的实际段）
iptables -I INPUT -p tcp --dport 80  -s 203.0.113.0/24 -j ACCEPT
iptables -I INPUT -p tcp --dport 443 -s 203.0.113.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 80  -j DROP
iptables -A INPUT -p tcp --dport 443 -j DROP

# firewalld 写法（Rocky Linux 9 / CentOS Stream 9）
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="203.0.113.0/24" port port="443" protocol="tcp" accept'
firewall-cmd --permanent --remove-service=http
firewall-cmd --permanent --remove-service=https
firewall-cmd --reload

# 验证：从非 CDN 节点直连源站应超时
curl -sv -m 5 --resolve www.example.com:443:你的源站IP https://www.example.com/

# /etc/nginx/nginx.conf —— http 段中定义限流区域
http {
    # 按客户端 IP 限请求速率：rate=10r/s，突发放行 20 个
    limit_req_zone $binary_remote_addr zone=req_perip:10m rate=10r/s;
    # 按客户端 IP 限并发连接数
    limit_conn_zone $binary_remote_addr zone=conn_perip:10m;
    # 按 Server 维度限总并发，防止单机连接表打满
    limit_conn_zone $server_name zone=conn_perserver:10m;
    # 日志级别设为 warn，被限流的请求会记录 "limiting requests"
    limit_req_log_level warn;
    limit_conn_log_level warn;
    limit_req_status 429;
    limit_conn_status 429;

    server {
        listen 443 ssl;
        server_name www.example.com;

        location / {
            limit_req zone=req_perip burst=20 nodelay;
            limit_conn conn_perip 20;
            limit_conn conn_perserver 2000;
            proxy_pass http://backend;
        }

        # 静态资源放宽（图片/css/js 请求量大但成本低）
        location ~* \.(jpg|jpeg|png|gif|css|js|woff2)$ {
            limit_req zone=req_perip burst=50 nodelay;
            expires 7d;
            root /data/www;
        }

        # 登录、短信、支付等敏感接口单独严格限流
        location ~ ^/(api/login|api/sms|api/pay) {
            limit_req zone=req_perip burst=5 nodelay;
            limit_conn conn_perip 5;
            proxy_pass http://backend;
        }
    }
}

# /etc/sysctl.d/99-ddos.conf —— 协议型攻击加固
net.ipv4.tcp_syncookies = 1              # 半连接队列溢出时启用 SYN Cookie（多数发行版已默认开启）
net.ipv4.tcp_max_syn_backlog = 8192      # 半连接队列长度，默认 256 太小
net.core.somaxconn = 65535               # 全连接队列上限，需配合应用 listen backlog
net.ipv4.tcp_synack_retries = 2          # SYN+ACK 重试次数，默认 5 太浪费（默认约 180 秒）
net.ipv4.tcp_syn_retries = 3
net.ipv4.tcp_abort_on_overflow = 0       # 队列满时发 RST（1）还是丢弃（0），建议 0
net.ipv4.tcp_fin_timeout = 15            # FIN_WAIT_2 超时，默认 60 秒
net.ipv4.tcp_tw_reuse = 1                # 允许复用 TIME_WAIT 套接字（仅对客户端生效）
net.ipv4.ip_local_port_range = 1024 65535
net.netfilter.nf_conntrack_max = 1048576 # 连接跟踪表上限（注意内存占用，每条约 300 字节）
net.netfilter.nf_conntrack_tcp_timeout_established = 600
net.ipv4.icmp_echo_ignore_broadcasts = 1 # 防 Smurf 放大
net.ipv4.icmp_ignore_bogus_error_responses = 1

# 应用生效
sysctl -p /etc/sysctl.d/99-ddos.conf
# 验证
sysctl net.ipv4.tcp_syncookies net.core.somaxconn
cat /proc/sys/net/ipv4/tcp_syncookies

# 单 IP 每秒最多 20 个新建 SYN，突发 50
iptables -N ANTI_DDOS 2>/dev/null
iptables -A INPUT -p tcp --syn -j ANTI_DDOS
iptables -A ANTI_DDOS -p tcp --syn -m hashlimit \
  --hashlimit-name syn_rate --hashlimit-mode srcip \
  --hashlimit 20/second --hashlimit-burst 50 -j RETURN
iptables -A ANTI_DDOS -j DROP

# 单 IP 并发连接数上限（防 CC 建连）
iptables -A INPUT -p tcp --syn --dport 443 -m connlimit --connlimit-above 30 -j REJECT

# 屏蔽非常见_flags 组合（防 Xmas/NULL 扫描型 Flood）
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL ALL  -j DROP
iptables -A INPUT -p tcp --tcp-flags SYN,FIN SYN,FIN -j DROP

# 限制 UDP 流量（DNS 等业务需先放行必要端口）
iptables -A INPUT -p udp --dport 53 -m hashlimit \
  --hashlimit-name udp_dns --hashlimit-mode srcip --hashlimit 50/second -j ACCEPT
iptables -A INPUT -p udp -m limit --limit 100/second -j ACCEPT
iptables -A INPUT -p udp -j DROP