在 Fail2Ban 中检测 DoS 和 DDoS 的好方法是什么？

Question

我正在 Ubuntu Web 服务器上配置 Fail2Ban，以防止它成为 DoS / DDoS 的受害者。我不想使用 Cloudflare，因为我必须路由我的 DNS 并使用他们的 SSL 证书。

HEAD目前，我在网上找到了一个脚本，可以检查每秒是否有超过 1 个 HTTP请求，或者xmlrpc.php每秒是否有超过 1 个请求。我认为这不足以提供足够的保护，因为这些并不是人们可以用来执行 DDoS 攻击的唯一请求类型。

GET我正在考虑限制给定IPPOST在短时间内可以发出的请求数量，但我不确定应该如何设置限制，因为加载大量 Javascript、CSS 或图像的大页面会导致GET短时间内收到大量请求。我应该考虑限制GET/POST请求，还是应该考虑其他事情？为什么？

Answer 1

仅通过检查每秒请求率很难看出好人或坏人的区别。在做出最终决定之前，您需要在您的环境中运行该脚本，以查看每 5 分钟（示例）来自单个 IP 地址的请求数对于您的网站来说是“正常”的。

一旦计算出正常速率，就可以使用脚本来计算 GET 和/或 POST（取决于您的日志文件分析）。

不过，可以在日志文件中找到其他可疑活动进行过滤，例如扫描脚本或可执行文件等。（“希望”在配置良好的 Web 服务器中导致错误的 GET/POST ；-)）

我在自己的系统上使用了这个外部fail-2-ban-link 。