如今，互联网飞速发展的时代，各种各样的网络风险也随之而来。很多互联网公司经常会遭到各种各样的网络攻击，特别是DDOS攻击最让互联网企业感到头痛，因为DDOS攻击会直接造成服务器崩溃，导致用户无法访问，业务直接中断。而且DDoS攻击根本无法完全避免，只能被动做好防御，防御的成本还比较高。那么，有没有什么办法可以用来防御和缓解呢？
小墨告诉你：通过iptables设置可以缓解DDoS攻击和CC攻击哦。那么具体是怎么操作呢，且听小墨慢慢分析：
当站点受到DDoS攻击和CC攻击时，如何通过iptables设置来缓解？

防范DDOS攻击脚本

#防止SYN攻击 轻量级预防

iptables -N syn-flood

iptables -A INPUT -p tcp --syn -j syn-flood

iptables -I syn-flood -p tcp -m limit --limit 3/s --limit-burst 6 -j RETURN

iptables -A syn-flood -j REJECT

#防止DOS太多连接进来,可以允许外网网卡每个IP最多15个初始连接,超过的丢弃

iptables -A INPUT -i eth0 -p tcp --syn -m connlimit --connlimit-above 15 -j DROP

iptables -A INPUT -p tcp -m state --state ESTABLISHED,RELATED -j ACCEPT

#用Iptables抵御DDOS (参数与上相同)

iptables -A INPUT -p tcp --syn -m limit --limit 12/s --limit-burst 24 -j ACCEPT

iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT

防范CC攻击设置

1、系统要求

LINUX 内核版本：2.6.9-42ELsmp或2.6.9-55ELsmp（其它内核版本需要重新编译内核，比较麻烦，但是也是可以实现的）。

iptables版本：1.3.7

2、配置相应的iptables规则

示例如下：

(1)控制单个IP的最大并发连接数

iptables -I INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j REJECT #允许单个IP的最大连接数为 30 。

#默认iptables模块不包含connlimit,需要自己单独编译加载

(2)控制单个IP在一定的时间（比如60秒）内允许新建立的连接数

iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --update --seconds 60 --hitcount 30 -j REJECT iptables -A INPUT -p tcp --dport 80 -m recent --name BAD_HTTP_ACCESS --set -j ACCEPT

#单个IP在60秒内只允许最多新建30个连接。

通过上述iptables设置，可以在网站服务器遭到CC攻击时，自动屏蔽IP地址，缓解CC攻击对服务器造成的影响。

对付日常的小流量DDoS攻击与CC攻击可以利用此方法来缓解，但如果面对大流量DDoS攻击与CC攻击则不能防得住，需要接入类似墨者盾的专业高防服务，利用流量清洗来防御大流量DDoS攻击与CC攻击，来避免不必要的安全风险，减少不必要的经济损失，

关于墨者安全

墨者安全致力于安全防护、服务器高防、网络高防、ddos防护、cc防护、dns防护、防劫持、高防服务器、高防dns、网站防护等方面的服务，全网第一款指纹识别技术防火墙，自研的WAF指纹识别架构，提供任意CC和DDOS攻击防御。