如何用iptables阻止DDoS攻擊

使用iptables阻止DDoS攻擊是一種常見的方法，但請注意，這需要一定的Linux和網絡知識。以下是一些基本的步驟來配置iptables以幫助防止DDoS攻擊：

1. 更新系統： 確保你的系統和iptables都是最新的。

2. 創建新的iptables規則： 你可以添加規則來限制特定IP地址的連接數，或者限制特定端口的流量。

   # 限制每個IP地址的連接數
   iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 50 -j DROP
   
   # 限制特定端口的流量速率
   iptables -A INPUT -p tcp --dport 80 -m limit --limit 50/s -j ACCEPT
   iptables -A INPUT -p tcp --dport 80 -j DROP
   

3. 阻止已知的惡意IP地址： 如果你有已知的惡意IP地址列表，可以將它們添加到iptables的黑名單中。

   # 阻止單個IP地址
   iptables -A INPUT -s 1.2.3.4 -j DROP
   
   # 阻止IP范圍
   iptables -A INPUT -m iprange --src-range 1.2.3.4-1.2.3.5 -j DROP
   

4. 限制ICMP請求： DDoS攻擊有時會使用ICMP（ping）請求來探測目標網絡。你可以限制ICMP請求的數量。

   iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
   iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
   

5. 啟用SYN Cookies： SYN Cookies可以幫助防止SYN Flood攻擊。

   echo 1 > /proc/sys/net/ipv4/tcp_syncookies
   

6. 保存iptables規則： 為了讓規則在系統重啟后仍然有效，你需要保存iptables規則。

   iptables-save > /etc/iptables/rules.v4
   

7. 監控和調整： 監控你的網絡流量和iptables日志，根據實際情況調整規則。

請記住，這些只是一些基本的步驟，實際的DDoS防御可能需要更復雜的策略和工具。在生產環境中，建議使用專業的DDoS防護服務或設備。此外，配置iptables時要小心，錯誤的配置可能會導致合法流量被阻斷。在進行任何更改之前，最好備份當前的iptables規則。