DoS（拒絕服務）攻擊透過耗盡目標系統資源（CPU、記憶體、連接表、頻寬），導致合法用戶無法獲得服務。對於資源有限的中小型網站，建立成本可控、效果可測的防禦體系至關重要。本文從主機加固、防火牆策略、路由器配置、負載均衡、專用防護設備、應急切換六大維度，提供可落地的防禦組合拳。

一、 攻擊現象快速識別

• 大量 TIME_WAIT / SYN_RECV 狀態連接堆積。
• CPU/記憶體異常飆升，系統響應緩慢甚至凍結。
• 網卡流量暴增，來源 IP 分散、多為偽造或代理 IP。
• 正常業務請求大量超時或返回 5xx 錯誤。
• 嚴重時作業系統死機、需要硬重啟。

二、 主機層加固：提升單點抗壓能力

Linux/BSD 內核參數調優（以 sysctl 為例）

# 擴大半連接隊列
net.ipv4.tcp_max_syn_backlog = 2048
# 啟用 SYN Cookie（需內核支援）
net.ipv4.tcp_syncookies = 1
# 縮短 SYN-ACK 重試次數與超時
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 3
# 加速連接回收
net.ipv4.tcp_fin_timeout = 10
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_tw_recycle = 1  # 注意 NAT 環境下慎用
# 擴大端口範圍
net.ipv4.ip_local_port_range = 1024 65535

通用加固清單

• 關閉所有非業務必需服務與端口。
• 及時安裝作業系統與中間件安全補丁。
• 啟用強制訪問控制（SELinux/AppArmor）或最小權限容器化部署。
• 配置日誌審計（auditd）監控關鍵文件與權限變更。

三、 防火牆策略：第一道攔截線

基礎規則集

• 僅開放業務必要端口（如 80/443/22），其餘全部拒絕。
• 限制單 IP 併發連接數（如 connlimit --connlimit-above 100）。
• 限制單 IP 新建連接速率（如 limit --limit 30/sec --limit-burst 50）。
• 啟用防火牆內建 Anti-DDoS 模組（SYN Flood 防護、UDP Flood 限速）。
• 嚴格限制內網服務器主動對外連接（防止被利用為反射放大源）。

進階演算法比較

演算法	原理	優點	缺點
Random Drop	流量超閾值時隨機丟棄封包	實現簡單，保護主機存活	誤傷正常流量，大流量下正常封包極難通過
SYN Cookie	不分配半連接資源，用 Cookie 驗證合法性	零內存消耗，有效對抗 SYN Flood	不支援 TCP 選項（如窗口縮放、SACK），高併發下計算開銷大

建議： 組合部署——防火牆啟用 SYN Cookie 處理 SYN Flood，應用層部署 WAF 處理 HTTP Flood。

四、 路由器配置：骨幹層過濾與流控

以 Cisco IOS/IOS-XE 為例：

• CEF (Cisco Express Forwarding)： 啟用加速轉發，配合硬體加速提升處理能力。
• Unicast RPF (uRPF)： ip verify unicast source reachable-via rx，嚴格/鬆散模式防偽造源 IP。
• ACL 過濾： 邊緣封鎖已知惡意 IP 段、保留地址、非法標誌封包。
• CAR (Committed Access Rate) / Policing： 對關鍵服務 IP 做入向限速，超額丟棄或重標記 DSCP。
• IOS 升級： 修復已知漏洞（如 CVE-2020-3118 等），但升級前必須在測試環境驗證。
• 日誌伺服器： 將 ACL 匹配、CPU 利用率、介面流量傳送至 Syslog/SIEM 實時分析。

操作鐵律： 修改 running-config 先觀察效果，確認無業務中斷後再 copy running-config startup-config；回滾用 copy startup-config running-config。

五、 負載均衡與架構彈性：以空間換時間

• DNS 輪詢 / GSLB： 多機房部署，智能解析就近接入，單點故障自動剔除。
• 四層/七層負載均衡器（硬體或軟體）： HAProxy、NGINX Plus、F5、A10 等，支援會話保持、SSL 卸載、健康檢查、速率限制。
• 無狀態服務水平擴展： 容器化（K8s HPA）或虛擬機擴展組，根據 CPU/請求佇列自動擴縮容。
• 成本考量： 中型站點可起步於雲負載均衡（如 AWS ALB、阿里云 SLB）按量付費，避免硬體一次性投入。

六、 專用 DDoS 防護設備與雲清洗

當攻擊流量超過接入頻寬（>1Gbps）或應用層特徵複雜，本地設備無法處理時：

• 本地設備： 綠盟黑洞、東方龍馬終結者、NSFOCUS ADS、Radware DefensePro——集成路由/交換/清洗，部署於數據中心邊緣。
• 雲清洗服務： Cloudflare、Akamai、阿里云高防 IP、騰訊云大禹、AWS Shield Advanced——將流量引流至雲端 Tbps 級清洗集群，僅回源乾淨流量。
• 選型建議： 核心業務採用「本地設備 + 雲清洗」雙模式，本地擋住中小流量與 L7 攻擊，大流量自動切換至雲端。

七、 應急切換「保命」招式

當防禦體系被突破、服務不可用時，可在分鐘級恢復訪問：

1. 更換 IP + 域名快速解析： 預備備用乾淨 IP，DNS TTL 設 60 秒或更低，攻擊時切換解析記錄。
2. 變更服務端口： 暫停 80/443，啟用 8080/8443 等非標準端口，配合域名解析 domain.com:8080 或隱式端口映射（負載均衡器層面處理）。
3. 啟用靜態緩存站點： 將核心頁面生成純靜態 HTML 部署至 CDN/對象存儲（S3/OSS），完全繞過動態後端。

結語

中小網站防禦 DoS/DDoS 的核心策略是「分層分級、按需投入、預案先行」。從作業系統參數調優開始，疊加防火牆限速、路由器過濾、負載均衡分流，最終接入專業清洗服務構成完整防護鏈。定期實施壓力測試與紅藍對抗演練，確保每個環節在實戰中可用。記住：最好的防禦是讓攻擊者「打不中、打不垮、打不爛、打不穿」。