一个老生常谈的服务器攻防问题

Jobsz

公司的服务器直接接在外网?

原帖由 yuqiao 于 2009-3-6 10:25 发表
最近我们公司的服务器被攻击了，不像是ddos，但类似于洪水
目前就装了一个冰盾，把攻击的IP屏蔽了
但冰盾只能屏蔽两天，而且攻击的IP最近老换(目前发现了3个)
而且有个坏处，就是防御级别太高，经常把我自己的IP也 ...

yuqiao

原帖由 Jobsz 于 2009-3-9 08:16 发表
公司的服务器直接接在外网?

公司的服务器托管在机房，东单的一个地方

最近这个sb开始用代理攻击了，大家说说

ahu

原帖由 erjing 于 2009-3-8 09:51 发表

因为只要是TCP/IP协议，哪就有握手，只要有握手，就有人喜欢握手时间长一点，还有人喜欢站着茅坑不拉屎，哪手只有一只，咋办捏？一个一个来。一个一个来咋办捏？给一些人几点机会，给他30秒的时间自己领悟一下。。 ...

那它就不会把防火墙握着不放？  防火墙就不会被老占着？  要是把防火墙线路堵塞了不也一样嘛？   

抱歉问的有点幼稚，只是实在是不了解！  呵呵给扫扫盲！

erjing

原帖由 ahu 于 2009-3-9 18:18 发表



那它就不会把防火墙握着不放？  防火墙就不会被老占着？  要是把防火墙线路堵塞了不也一样嘛？   

抱歉问的有点幼稚，只是实在是不了解！  呵呵给扫扫盲！

不是说过”给他30秒的时间自己领悟一下“吗，过30秒了丫还不放手俺就喊保安了。因此，一个握手主动结束。
DDOS的关键在于tcp/ip协议的握手。
再给你形象点，你隔着墙，喊hello，哪我就眼瞅过去，谁在喊啊？然后我看到你了，我也喊hello，这算第一步对吧？
哪DDOS就是隔着墙喊hello,我眼瞅过去发现没人！因为IP是假的，但是我不知道啊，我就等啊。
如果你搞个啥喇叭之类的，对我在无数个访问喊hello,哪我就要超无数个地方看过去，期待握手。但是因为这些地方都是假的，哪我只好等到超时了后再放弃。要不我这sesssion太多，一个seesion就一味着要用内存和cpu处理不是？
所以，把超时时间放短也是处理DDOS的重要手段之一。比如以前30秒，我现在修改成3秒，哪我在单位时间内可以处理更多。但是有些人他不是恶意的，比如他在阿富汗，时间需要15秒了，结果我就这点耐心，就看3秒，哪这些网络质量不是很好的访问者就被拒之门外了。
大量的DDOS就会出现你刚才说的堵塞问题，为啥叫做DDOS呢？DOS是拒绝攻击，DDOS是分布式拒绝攻击，也就是说有人掌握N台机器，然后集体DOS.
堵塞也要有堵塞的方法对不？比如UDP洪水，比如ICMP洪水。但是这些都比较好解决，因为这些攻击都有有源头的，在边缘路由器上（比如电信哪边）将此IP屏蔽掉就行了。但是DOS就很难了，因为src是伪造的，哪很难判断出来源头在哪里。除非一条线路上所有路由器的机构都能和你配合，大家一起查。

yuqiao

erjing说的很好，昨天下午服务器受到了icmp攻击，用冰盾愣是没找到攻击源

除了在dos下用netstat -an命令查看外，还有什么办法比较容易查看？

erjing

icmp攻击。。。嗯这个有点麻烦。。。。因为icmp可以被路由器重定向滴。。。
你直接把icmp关掉算了。或者给机房说一下，把你的icmp关掉。机房处理会好一些，这样就不占你的带宽了。
对他来说仅仅是一句policy.

yuqiao

目前已经让机房把主要攻击源从硬防上给屏蔽了

但那孙子有3.4个IP，机房还在研究中

ahu

在问个盲一点的，二斤不要崩溃啊！

问题：为啥软防防不住，硬防就可以？

我觉得防火墙也就是一个简单的专用PC，都有硬件、操作系统，用的协议应该也差不多吧，要从功能上讲，服务器+高级的防火墙软件应该具有硬件防火墙的功能， 所以为啥两个看似一样的东西在面对攻击的时候结果就不一样了呢？

ahu

在给二斤一个建议， 看你上面讲的都很形象，不如搞个《漫画网络》  像漫画三国一样，这样就可以转型当作家了。

erjing

晕倒我要会画呀。。。。。可惜不会。。。
软防的意思是对方直接攻击你了，哪流量大了，或者供给量大了，你的防火墙也受不了了。
硬防的意思是在中间加一台设备，过来的流量就是干净的。只要你的贷款不堵住就没啥问题。