数据包泛洪，有什么办法处理吗？

Question

我的机器每秒被数以千计的数据包淹没。它们不会占用太多带宽（1gbit 中的 60mbps），但它们会消耗负责处理网卡中断的 CPU，从而严重损坏系统。ksoftirqd 达到 100%，机器几乎无法访问。我该如何处理此类攻击 - 抛出大量随机数据包？有没有办法以某种方式调整处理服务器中断或将其分配到其他 CPU 上？

我的网卡用的是NAPI，linux内核是2.6.31.5

Answer 1

您需要联系您的上游提供商，让他们阻止、过滤或以其他方式阻止来自此 DDOS 的数据包到达您。当它们到达您的服务器时，您真的无能为力。

您可以尝试使用 iptables 来阻止源 IP 地址，但很可能在 iptables 实际查看数据包并决定丢弃它时（计算性）损坏已经完成。

编辑：

你的评论对我来说没有意义。您有由大量或特制数据包（或两者）引起的 DDOS，由于中断切换导致计算开销过多。它们来自一个还是几个来源？您的上游提供商是否丢弃了来自该源的数据包？利润！如果他们永远不会到达您的机器 - 他们永远不会首先引起问题。一旦数据包已经到达，你就无法在主机上做任何魔法来防止这种情况发生。您需要在数据包到达您的机器之前将其丢弃。请联系您的服务提供商或托管公司。