2

Web アプリケーションのセットアップ apache+mod_jk+tomcat (8009 ポートの mod_jk のコネクタ) があります。最近、アプリが 1 日に数回ハングするようになり、/var/logs/messages に「ポート 8009 で SYN フラッドの可能性があります。Cookie を送信しています」のようなエントリが 30 ～ 60 秒で表示されます。アプリがハングするたびに再起動する必要があります。

DDOS攻撃ですか？またはシステム/アプリケーションエラーがこの問題を引き起こす可能性がありますか?

どんな助けでも大歓迎です。

ありがとう。

4

2 に答える 2

1

まず、既存のルールを調べてみました

iptables -L -v

これにより、既存のチェーン (INPUT、FORWARD、および OUTPUT) に設定されているルールとデフォルト ポリシーが表示されます。

次に、これらの簡単な手順に従いました-

  1. 新しいチェーンを作成し、DDOS_SYNFLOOD などの名前を付けます。

iptables -N DDOS_SYNFLOOD

  1. limit モジュールを使用して、約 20 の最大バーストで 1 秒あたり 15 のパケット数に制限を追加します。

iptables -A DDOS_SYNFLOOD -m limit --limit 15/second --limit-burst 20 -j ACCEPT

注: その他の単位 - /minute 、 /hour 、および /day

  1. そしてもちろん、上記の制限を超えるパケットをドロップする必要があります

iptables -A DDOS_SYNFLOOD -j ドロップ

  1. あとは、ポート 80 で受信する tcp syn パケットのこの新しいチェーンに「ジャンプ」するだけです。

iptables -A INPUT -p tcp --syn --dport http -j DDOS_SYNFLOOD

そして、セットアップされたものを見るために -

iptables -L -v

于 2014-06-20T11:38:11.860 に答える
1

tcp_syncookiesに関するこの記事は、問題の説明に役立つ場合があります。

誰かまたは何かが SYN パケットをアプリケーションに送信しています。ACK cookie を受信しない正当なクライアント (アプリケーションは動作していますか?) であるか、悪意のある人物 (配布されているかどうか) である可能性があります。

于 2010-11-13T21:12:57.320 に答える