巧用iptables防御DDoS攻击！

syn flood (syn洪水) 是种典型的dos (denial of service，拒绝服务) 攻击，属于ddos攻击的一种。遭受攻击后服务器tcp连接资源耗尽，最后停止响应正常的tcp连接请求。尽管这种攻击已经出现了十多年，但它的变种至今仍能看到。虽然能有效对抗syn洪泛的技术已经存在，但是没有对于tcp实现的一个标准的补救方法出现。今天小编将详述这种攻击原理以及对抗syn洪水的方法~
防御 syn flood攻击
配置iptables规则
iptables防火墙我们可以理解为linux系统下的访问控制功能，我们可以利用iptables来配置一些规则来防御这种攻击。强制syn数据包检查，保证传入的tcp链接是syn数据包，如果不是就丢弃。
#iptables-ainput-ptcp--syn-mstate--statenew-jdrop强制检查碎片包，把带有传入片段的数据包丢弃。
#iptables-ainput-f-jdrop丢弃格式错误的xmas数据包。
#iptables-ainput-ptcp--tcp-flagsallall-jdrop丢弃格式错误的null数据包。
#iptables-ainput-ptcp--tcp-flagsallnone-jdrop当iptables配置完成后我们可以使用nmap命令对其验证
#nmap-v-ffirewallip#nmap-v-sxfirewallip#nmap-v-snfirewallip例如：
其他防御方式：
除此之外针对syn攻击的几个环节，我们还可以使用以下处理方法：
方式1：减少syn-ack数据包的重发次数(默认是5次)
sysctl-wnet.ipv4.tcp_synack_retries=3sysctl-wnet.ipv4.tcp_syn_retries=3方式2：使用syn cookie技术
sysctl-wnet.ipv4.tcp_syncookies=1方式3：增加backlog队列(默认是1024)：
sysctl-wnet.ipv4.tcp_max_syn_backlog=2048方式4：限制syn并发数：
iptables-ainput-ptcp--syn-mlimit--limit1/s-jaccept--limit1/s

网站快照被劫持应该怎么处理
传统网站制作的方式都有哪几种?
七个基于HTML5实现的特效
如何有条理的进行网站的改版
网站SEO诊断分析具体是什么？
深度刨析如何用互联网战胜脱贫？
一个企业网站建站中的几点建议
中小型网站架构分析及优化