Linux系統防DDOS記

用squid也是利用連接埠映射的功能，可以將80連接埠轉換一下，其實一般的DDOS攻擊可以修改/proc/sys/net/ipv4/tcp_max_syn_backlog裡的參數就行了，預設參數一般都很小，設為8000以上，一般的DDOS攻擊就可以解決了。如果上升到timeout階段，可以將/proc/sys/net/ipv4/tcp_fin_timeout設小點。

大家都在討論DDOS，個人認為目前沒有真正解決的方法，只是在緩衝和防禦能力上的擴充，跟駭客玩一個心理戰術，看誰堅持到最後，網上也有很多做法，例如syncookies等，就是複雜點。

sysctl -w net.ipv4.icmp_echo_ignore_all=1
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
sysctl -w net.ipv4.tcp_max_syn_backlog="2048"
sysctl -w net.ipv4.tcp_synack_retries="3"

iptables -A INPUT -i eth0 -p tcp --syn -j syn-flood
# Limit 12 connections per second (burst to 24)
iptables -A syn-flood -m limit --limit 12/s --limit-burst 24 -j RETURN
這個地方可以試著該該：
iptbales -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT