前言

DoS/DDoS 攻擊以濫用資源癱瘓服務，讓網管頭痛不已。本文結合實戰經驗，介紹攻擊發現、IP 封鎖、SYN 快取調整三大免費防禦手段，雖無法百分百根治，但能最大程度降低損失。

一、如何發現攻擊

觀察伺服器 CPU 與記憶體使用率：若突然超負載、效能驟降，可能遭攻擊。但也可能是正常流量激增。依兩原則判斷：

1. 資料流量瞬間暴增至平常幾十上百倍，且大量封包來自大量不同 IP。
2. 湧入封包（TCP/UDP）非正常服務連線一部分，常指向任意埠（如 Web 伺服器卻收到針對 FTP 或隨機埠的封包）。

二、BAN IP 封鎖法

確認攻擊後，在防火牆封鎖攻擊源 IP。

• DoS： 來源 IP 少且多為偽造，直接在伺服器/路由器封鎖極有效。
• DDoS： 來源龐大且分散，需分析防火牆日誌識別真正攻擊 IP 段再封鎖。

操作建議：在伺服器防火牆日誌定位異常 IP 段 → 將過濾規則加到核心路由器（避免佔用伺服器資源）。
例：攻擊段 211.153.0.0/16，伺服器 61.153.5.1。
路由器訪問控制列表：access-list 108 deny tcp 211.153.0.0 0.0.255.255 host 61.153.5.1（注意反向遮罩）。

三、增加 SYN 快取（登錄調整）防禦小型攻擊

BAN IP 易誤傷正常用戶，小型攻擊可調整 TCP SYN 快取參數提升抗性。以下為登錄修改要點（需重啟生效）：

Windows Server 2003

1. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\SynAttackProtect：0 → 1（啟用 SYN 攻擊防護，縮短連線回應逾時）。
2. EnableDeadGWDetect：1 → 0（禁止 SYN 攻擊後被迫更換閘道導致服務中斷）。
3. EnablePMTUDiscovery：1 → 0（限制攻擊者 MTU，降低伺服器總負載）。
4. KeepAliveTime：設 300000（毫秒，即 5 分鐘）。
5. NoNameReleaseOnDemand：0 → 1。

Windows 2000

參數相似，數值微調：

1. SynAttackProtect = 2
2. EnableDeadGWDetect = 0
3. EnablePMTUDiscovery = 0
4. KeepAliveTime = 300000
5. NoNameReleaseOnDemand = 1

總結

「發現攻擊 → BAN IP → 調整 SYN 快取」三步驟結合，可有效緩解 DoS/DDoS 衝擊。但 DDoS 特性決定了單台伺服器無法徹底防禦，專業硬體防火牆亦難以 100% 免損。上述方法為免費實用手段，實戰中請結合上層網路設備與專業防護服務綜合部署。