如何在仅有 1 个 IP 的代理环境中避免 DoS

Question

我们在代理 (nginx) 和 IP 后面有很多服务器。用户通过代理访问他们的服务器。我们将他们的域名添加到代理并将流量路由到他们的服务器。

问题是，有时我们会直接对 IP 而不是域发起 DoS 或 DDoS 攻击。除了使用花哨的 DDoS 缓解器外，还有其他解决方案可以避免对相关 IP 发起 DDoS 攻击吗？

提前致谢，问候

Answer 1

减轻 DDoS 攻击很难（而且昂贵）。

你可以向一些公司付费，他们要么为你提供一个盒子，放在你的数据中心，它可以过滤数据包，但不会被网络淹没。这些东西是由高端防火墙提供商提供的，比如 Arbor 网络等。我不知道这些东西是如何工作的。显然它们是这样的，但一如既往，YMMV。

还有 DDoS 缓解服务（如果有意义的话）。您可以获得一个 DDoS 缓解工具，以按量付费的方式提供（尽管它实际上更像是每月固定费率合同）。您可以通过他们的托管服务路由所有流量，他们会为您提供一条“干净的管道”，该管道已由他们的昂贵硬件集群过滤。

一种缓慢/老式的方法是与上游提供商合作，在 DDoS 流量到达您的服务器之前对其进行空路由。

我建议您在 Google 上搜索一下 DDOS 缓解服务，我为您提供了一个起点，即 Arbor，他们同时提供托管和 IaaS 选项，打电话给一些供应商，进行售前宣传，让他们互相争夺您的定制。

有几个合理的起点维基百科文章. 几乎我能想到的每一家高端防火墙供应商都有自己的解决方案。