路由器中的 Apache DDoS 保护 (pFsense)

Question

当我购买新服务器时，我很快就会改变我的基础设施。我将使用我的旧服务器硬件（Intel Atom 330、1GB ram、Intel Pro Server MT Dual Gigabit nic）用 pFsense 路由器（可能将 655 用作 AP）替换我的 D-Link DIR-655 路由器。我的新服务器将基于 SandyBridge 并运行 Apache+Samba。

现在，当我在家里设置这个新的基础设施时，我想尝试 DDoS 保护，我知道有一些模块和 apache 的东西可以让我这样做，但是由于我将拥有一个基于 BSD 的路由器，最好的解决方案似乎是已经在路由器中设置了一些东西，从而减少了路由器后面的网络硬件的压力。

所以基本上有了这些背景信息，我想问一下我将如何设置这样的配置，它会是最好的解决方案吗？

在 pFsense 中设置 DDoS 保护是否明智，还是应该由网络服务器处理？有人会认为最好尽早放弃包裹。

尽管我可能不会受到 DDoS 攻击，但还是先安全再道歉。

编辑：我知道我的服务器可能无法处理严重的 DDoS 攻击，但通过最大限度地保护，以便我的基础设施可以处理更大一点的攻击，如果没有保护，我可能能够阻止一些较小的脚本小子“ bot-nets”从破坏服务器。所以我想要做的是尽可能地保护软件。

即使不是软件相关的事实，我只使用英特尔 Pro Server nics 也应该增加我的几率，因为它们消耗的 CPU 功率低于您在受感染系统中看到的平均 Realtek nics。我不希望有人能够因为我的系统配置不正确而关闭我的系统。但正如前面提到的，我很可能永远不会受到这样的攻击，这主要是因为我想尝试我的选择。

Answer 1

你并没有真正保护自己免受 DDOS 的攻击。您识别流量并与您的 ISP 协调以在它进入您的链接之前阻止它。如果你不得不在你身边阻止它，你已经输了，因为你的管子已经堵塞了（数据包必须在被丢弃之前到达你的 FW）。

那些设法以这种方式抵御DDOS 的人真的是像亚马逊这样的大人物，他们拥有庞大的连接和弹性云基础设施来满足请求（他们这样做的同时与他们的各种 ISP 协调以阻止流量，正如我上面所说的那样）。