我的 Web 服务器受到大量访问，导致我的 httpd 瘫痪。可能存在 DDoS 攻击？

Question 1

这些是您托管的域名吗？我怀疑不是。

最近我发现我的机器上开放 http 代理的扫描数量大幅增加 - 看起来你可能正在运行一个开放的 http 代理（这与运行一个开放的邮件中继一样糟糕 - 甚至更糟糕，因为大多数人现在都实施了各种缓解措施，如 RBL 和 SPF）。

禁用代理/添加身份验证/限制到您的 LAN 地址。

另一方面，如果您真的是所有这些域名的网站管理员，那么请查看 mod_evasive 和 mod_security。

Answer

这些是您托管的域名吗？我怀疑不是。

最近我发现我的机器上开放 http 代理的扫描数量大幅增加 - 看起来你可能正在运行一个开放的 http 代理（这与运行一个开放的邮件中继一样糟糕 - 甚至更糟糕，因为大多数人现在都实施了各种缓解措施，如 RBL 和 SPF）。

禁用代理/添加身份验证/限制到您的 LAN 地址。

另一方面，如果您真的是所有这些域名的网站管理员，那么请查看 mod_evasive 和 mod_security。

Question 2

从时间戳来看，命中率似乎不是很高，但从 IP 来看，似乎来自各个地方。大多数 Web 服务器应该能够每秒处理几次命中。但是，您可以尝试一些方法来缓解您的问题。

如果其中一些连接通过保持打开的连接来阻塞连接，则可以减少活着每个连接的超时时间。
检查你的 httpd 没有消耗太多内存减少监听进程和线程的最大数量。
将您的 Web 服务器停放在 varnish/pound 等反向代理后面，并在边缘过滤目标连接，立即丢弃无效连接。
增强服务器，使其能够处理更多连接。定期使用以下工具进行测试：围城或者阿帕奇长凳以确保您能够处理合理的负载。

Answer

从时间戳来看，命中率似乎不是很高，但从 IP 来看，似乎来自各个地方。大多数 Web 服务器应该能够每秒处理几次命中。但是，您可以尝试一些方法来缓解您的问题。

如果其中一些连接通过保持打开的连接来阻塞连接，则可以减少活着每个连接的超时时间。
检查你的 httpd 没有消耗太多内存减少监听进程和线程的最大数量。
将您的 Web 服务器停放在 varnish/pound 等反向代理后面，并在边缘过滤目标连接，立即丢弃无效连接。
增强服务器，使其能够处理更多连接。定期使用以下工具进行测试：围城或者阿帕奇长凳以确保您能够处理合理的负载。

Question 3

这是一个小型 IPtables 脚本，它可以限制特定时间段内来自各个 IP 的连接数。它过去曾为我们阻止过这种事情。它使用最新模块（大多数现代操作系统都会自动将其作为 IPtables 模块加载）。

看起来这些 HTTP 命中可能不会导致 Web 服务器问题，但这只会限制来自 IP 的所有流量，因此如果您删除 --dport 选项，则不会只关注 HTTP 命中。与任何与 IPtables 相关的东西一样：请谨慎使用（如果是远程服务器，请先在本地尝试）。

iptables -F; iptables -X; iptables -nL

iptables -I INPUT -p tcp --dport 80 -m state --state NEW -m recent --set

iptables -I INPUT -p tcp --dport 80 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 --rttl -j DROP

iptables -I INPUT -p tcp --dport 80 -m state --state NEW -m recent --update --seconds 60 --hitcount 4 --rttl -j LOG --log-level info --log-prefix IP-DROP:

Answer