FreeBSD 中简单的反 DDoS 保护

Question

我在 FreeBSD 上有很多从数据中心到我的 Web 服务器的请求，有时我的 Web 项目有很多性能问题。将所有 IP 的数据中心添加到 IPFW 列表是不可能的。

我不想使用大型的 Anti-DDoS 系统，而是想创建 bash 脚本来连接到我的服务器，按 IP 过滤并添加到 IPFW 表中的 IP 地址，这些 IP 地址现在连接超过 5 个线程。或者可能在 IPFW 上创建多个表，并按表添加：

• 0 < 5: - 没有
• 5 < 10: - 表 1（禁赛 15 分钟）
• 10 < 15: - 表 2 (30 分钟禁赛)
• 15 < 20: - 表 3（禁赛 60 分钟）
• 更多 20： - 表 4（1 天禁令）

按 IP 过滤应按主机名跳过 Google IP 和其他搜索引擎 IP。

这是我的 grep 连接和排序脚本：

netstat -nptcp | egrep -v 'Active|Address' | awk '{print $5}' | cut -d. -f 1-4 | sort | uniq -c | sort -n | tail -n 30

解析日志文件实在是太糟糕了，因为日志文件有时很大，而且我必须要额外的资源 web 服务器来解析和排序。

所以，我还想过，也许在 PHP 上创建这个脚本？但是如果 PHP 崩溃，服务器将不受保护。

还有什么我需要注意的其他注意事项吗？

Answer 1

在 PHP 中完成这项工作将是一个坏主意；如果您对下面提到的脚本接口有任何经验，我强烈建议您这样做；否则你别无选择，除了 PHP 之外，它可以轻松完成。

与下面列出的问题相比，PHP 脚本的崩溃并不是什么大问题。

1. 您必须向您的 PHP 脚本授予超级用户权限，以便它可以访问系统资源，如果您的服务器面向 Web，这可能会非常糟糕。
2. PHP 将无法执行系统级任务，例如访问网络连接列表、过滤并将它们添加到防火墙配置中以进行阻止等；这样做会非常痛苦。

您可能想尝试 BASH/Perl/Python，无论您喜欢哪种，并在沙盒模型中创建一个单独的脚本（创建一个用户并在 sudoers 中为其添加权限，仅用于所需的任务，并使其远离运行该任务的用户网络服务器或互联网上的任何其他任务）