为什么防止 DDoS 如此困难？

Question

我在想，如果 DDoS 攻击可以通过两种方式进行：

1. 发送大数据包。
2. 发送许多数据包。

为什么网络管理员不限制 IP 连接，比如说 3 个用户/IP 并设置他们的带宽限制？

我看不出问题。我知道许多软件产品，例如 NetLimiter 3 Pro，可以很好地限制带宽，但它们不限制用户/IP。

Answer 1

好吧，首先，让我们定义术语“DDOS”。那代表分布式拒绝服务，关键字被分发。如果您限制每个 IP 的连接数，则没有关系，因为您有十万个不同的 IP 地址影响着您的系统。

所以你限制了请求大小。太好了，你如何区分某些人 F5ing 和僵尸网络中的节点？

但无论如何，假设我们有一个神奇的行为分析算法。DDoS 攻击试图耗尽服务器资源并确保机器无法访问——对资源匮乏导致的问题进行复杂的数据分析将会加剧问题，而不是解决问题。

不幸的事实是，即使忽略连接也会占用一些资源。您可以考虑研究 Cloudflare 之类的服务，它将每个请求的低资源使用率缓存与（我相信）人工辅助 DDoS 检测混合在一起，但自己重新实现此服务可能超出了大多数项目的范围，并且会大大增加复杂性。