☰

DDOS 攻击 http 服务器和 iptables 没有帮助（我有 access_log）

tag-icon • tag-icon iptables http ddos
DDOS 攻击 http 服务器和 iptables 没有帮助（我有 access_log）

我遭受了针对 http 服务器的 DDOS 攻击，我尝试了 iptables 和其他措施，但似乎都不起作用。以下是 access_log 的一部分：

https://pastebin.com/6JFKmUi8

有很多连接，但是 iptables 不会阻止攻击，这是我的 iptables 规则：

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -s 147.135.37.113 -j ACCEPT

iptables -A INPUT -f -j DROP
iptables -A INPUT -m state --state INVALID -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP

iptables -N LOG_AND_DROP

iptables -N PORT21
iptables -A PORT21 -m recent --set --name lp21
iptables -A PORT21 -m recent --update --seconds 30 --hitcount 3 --name lp21 -j DROP
iptables -A PORT21 -m recent --update --seconds 300 --hitcount 10 --name lp21 -j LOG_AND_DROP

iptables -N PORT22
iptables -A PORT22 -m recent --set --name lp22
iptables -A PORT22 -m recent --update --seconds 30 --hitcount 3 --name lp22 -j DROP
iptables -A PORT22 -m recent --update --seconds 300 --hitcount 10 --name lp22 -j LOG_AND_DROP

iptables -N PORT80
iptables -A PORT80 -m recent --set --name lp80
iptables -A PORT80 -m recent --update --seconds 30 --hitcount 20 --name lp80 -j LOG_AND_DROP

iptables -N PORT443
iptables -A PORT443 -m recent --set --name lp433
iptables -A PORT443 -m recent --update --seconds 30 --hitcount 20 --name lp443 -j LOG_AND_DROP

iptables -N PORT10000
iptables -A PORT10000 -m recent --set --name lp10000
iptables -A PORT10000 -m recent --update --seconds 30 --hitcount 20 --name lp10000 -j LOG_AND_DROP

iptables -N PORT6900
iptables -A PORT6900 -m recent --set --name lp6900
iptables -A PORT6900 -m recent --update --seconds 30 --hitcount 10 --name lp6900 -j LOG_AND_DROP
iptables -A PORT6900 -m recent --update --seconds 50 --hitcount 20 --name lp6900 -j LOG_AND_DROP

iptables -N PORT6121
iptables -A PORT6121 -m recent --set --name lp6121
iptables -A PORT6121 -m recent --update --seconds 30 --hitcount 10 --name lp6121 -j LOG_AND_DROP
iptables -A PORT6121 -m recent --update --seconds 50 --hitcount 20 --name lp6121 -j LOG_AND_DROP

iptables -N PORT5121
iptables -A PORT5121 -m recent --set --name lp5121
iptables -A PORT5121 -m recent --update --seconds 30 --hitcount 10 --name lp5121 -j LOG_AND_DROP
iptables -A PORT5121 -m recent --update --seconds 50 --hitcount 20 --name lp5121 -j LOG_AND_DROP

iptables -A INPUT -p icmp --icmp-type echo-request -m hashlimit --hashlimit-name pings --hashlimit-mode srcip --hashlimit 10/min --hashlimit-burst 10 --hashlimit-htable-expire 30000 -j ACCEPT
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 5/min -j LOG --log-prefix "[Pings]"
iptables -A INPUT -p icmp -j DROP

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

iptables -A INPUT -p tcp --dport 21 -m state --state NEW -j PORT21
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -j PORT22
iptables -A INPUT -p tcp --dport 80 -m state --state NEW -j PORT80
iptables -A INPUT -p tcp --dport 443 -m state --state NEW -j PORT443
iptables -A INPUT -p tcp --dport 10000 -m state --state NEW -j PORT10000

iptables -A INPUT -p tcp --dport 6900 -m state --state NEW -j PORT6900
iptables -A INPUT -p tcp --dport 6121 -m state --state NEW -j PORT6121
iptables -A INPUT -p tcp --dport 5121 -m state --state NEW -j PORT5121

iptables -A INPUT -p tcp --dport 21 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j ACCEPT

iptables -A INPUT -p tcp --dport 80 -m hashlimit --hashlimit-name p80 --hashlimit-mode srcip --hashlimit 50/min --hashlimit-burst 100 --hashlimit-htable-expire 10000 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -m hashlimit --hashlimit-name p443 --hashlimit-mode srcip --hashlimit 50/min --hashlimit-burst 100 --hashlimit-htable-expire 10000 -j ACCEPT
iptables -A INPUT -p tcp --dport 10000 -m hashlimit --hashlimit-name p10000 --hashlimit-mode srcip --hashlimit 50/min --hashlimit-burst 100 --hashlimit-htable-expire 10000 -j ACCEPT

iptables -A INPUT -p tcp --dport 6900 -j ACCEPT
iptables -A INPUT -p tcp --dport 6121 -j ACCEPT
iptables -A INPUT -p tcp --dport 5121 -j ACCEPT

iptables -A LOG_AND_DROP -m limit --limit 10/min -j LOG --log-prefix "[Log]"
iptables -A LOG_AND_DROP -j DROP

#iptables -A INPUT -m limit --limit 10/min -j LOG --log-prefix "[Default]"
iptables -A INPUT -d 147.135.37.113 -j DROP

欢迎提出任何建议。我尝试了所有方法，但都不起作用。

答案1

与您的提供商（看起来像 OVH）讨论他们为您的系统提供的反 DDoS 保护。并非所有提供商，但大多数信誉良好的提供商都有办法帮助您解决此问题。除此之外，您可以考虑制定一个花哨的 fail2ban 规则，该规则监视您的 Web 服务器日志，以查找任何访问该 foro url 的客户端，并自动为它们添加 IPTables 规则。除此之外，您还可以在那里放一些东西......也许是一个非常小的 1 字节文件？或者将您的 Web 服务器放在 cloudflare 或其他 CDN 服务后面。大多数流量都可以通过几种方式处理，并且不会给您的服务器或您带来太大压力。但要注意日志文件会填满您的文件系统！这可能会造成另一个没人想要的问题。

有关使用 fail2ban 保护 apache 免受 DoS 攻击的更多信息，请查看此处：https://apache.tutorials24x7.com/blog/protect-apache-from-brute-force-and-ddos-attacks-using-fail2ban

答案2

通过这个简单的iptables问题就解决了（可能其他规则太乱了）

iptables -A INPUT -i eno1 -m state --state RELATED,ESTABLISHED -j ACCEPT
iptables -A INPUT -i eno1 -m state --state INVALID -j DROP
iptables -A INPUT -i eno1 -p tcp -m tcp --dport 22 -m state --state NEW -j ACCEPT
iptables -A INPUT -i eno1 -p tcp -m tcp --dport 21 -m state --state NEW -j ACCEPT
iptables -A INPUT -i eno1 -p tcp -m tcp --dport 80 -m state --state NEW -j ACCEPT
iptables -A INPUT -i eno1 -p tcp -m tcp --dport 443 -m state --state NEW -j ACCEPT
iptables -A INPUT -i eno1 -p icmp -j ACCEPT
iptables -A INPUT -i eno1 -j DROP

攻击不断发生，但服务器并未崩溃。

答案3

我想到了一些事情：

  1. 您可以将字符串匹配与 iptables 结合使用：

iptables -A INPUT -m 字符串 --algo bm --string “GET /foro” -j DROP

或者如果可能的话，在您的系统中使用 TARPIT

iptables -A INPUT -m 字符串 --algo bm --string “GET /foro” -j TARPIT

  1. 不要使用 fail2ban，而是编写自己的脚本，例如扫描日志最后 1000 行并阻止与 ipset 的匹配。将其添加到您的 iptables 脚本中：
  • ipset 摧毁厕所
  • ipset -N 厕所 iphash
  • ipset 抽水马桶

然后使用脚本将要阻止的 IP 地址添加到文本文件中。最后，你只需将所有 IP 地址循环到该厕所列表中即可。

  • ipset -A 厕所“$ipaddress”

使用 ipset 尤其是掩码比阻止 IP 地址更有效。我阻止了大约 20 000 个地址和大约 200 个网络。

您可能会对我非常混乱的脚本有一些想法。 https://pastebin.com/4v5se0kh

我知道这很麻烦，但对我来说，它比 fail2ban 快得多，也容易得多。我将该脚本命名为 suc2ban。你只需要找到你自己的日志文件的匹配项（你可能有 apache access.log，而不是我使用 auth.log 的示例）。

相关内容