LINUX下的SYN攻击防御(转载)

在怀疑有Dos攻击的时候，可以输入

netstat -an | grep -i “服务器ip地址:80″ | awk ‘{print }’| sort | uniq -c | sort -n

这个命令会自动统计Tcp连接各个状态的数量，如果SYN_RECV很高的话，就不能排除有基于tcp协议的ddos攻击的可能，这个时候可以打开tcp_syncookies，输入如下命令
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
如果没有 /proc/sys/net/ipv4/tcp_syncookies说明你的内核不支持，需要重新编译内核
同时 降低syn重试次数

echo 1 > /proc/sys/net/ipv4/tcp_syn_retries
echo 1 > /proc/sys/net/ipv4/tcp_synack_retries
 
加大syn_backlog，以保证用户的访问（消耗内存为代价，设的太高）
echo “2048″ > /proc/sys/net/ipv4/tcp_max_syn_backlog
 
如果还是不行，那么只能交给相应的硬件防火墙了。

#防止SYN攻击 轻量
/sbin/iptables -N syn-flood
/sbin/iptables -A INPUT -p tcp –syn -j syn-flood
/sbin/iptables -I syn-flood -p tcp -m limit –limit 3/s –limit-burst 6 -j RETURN
/sbin/iptables -A syn-flood -j REJECT

#为了防止DOS太多连接进来,那么可以允许最多15个初始连接,超过的丢弃
/sbin/iptables -A INPUT -s $INNET -p tcp -m state –state ESTABLISHED,RELATED -j ACCEPT
/sbin/iptables -A INPUT -i $EXTIF -p tcp –syn -m connlimit –connlimit-above 15 -j DROP
/sbin/iptables -A INPUT -s $INNET -p tcp –syn -m connlimit –connlimit-above 15 -j DROP

#设置icmp阔值 ,并对攻击者记录在案
/sbin/iptables -A INPUT -p icmp -m limit –limit 3/s -j LOG –log-level INFO –log-prefix “ICMP packet IN:”
/sbin/iptables -A INPUT -p icmp -m limit –limit 6/m -j ACCEPT
/sbin/iptables -A INPUT -p icmp -j DROP

# 防止端口扫描
iptables -I INPUT -p icmp –icmp-type echo-request -m state –state NEW -j DROP
#禁止PING

iptables -A INPUT -i eth0 -p tcp –tcp-flags ALL FIN,URG,PSH -j DROP
#标志为FIN，URG，PSH拒绝

iptables -A INPUT -i eth0 -p tcp –tcp-flags SYN,RST SYN,RST -j DROP
iptables -A INPUT -i eth0 -p tcp –tcp-flags SYN,FIN SYN,FIN -j DROP
iptables -A INPUT -i eth0 -p tcp –tcp-flags ALL ALL -j DROP
iptables -A INPUT -i eth0 -p tcp –tcp-flags ALL SYN,RST,ACK,FIN,URG -j DROP
iptables -A INPUT -i eth0 -p tcp –tcp-flags ALL NONE -j DROP

（附：218。94。6。179/188两台服务器安装的WEBMIN限定*。181网关连接，密码为：fangzhi790529）
# 防止SYN FLOOD
iptables -N synfoold
iptables -A synfoold -p tcp –syn -m limit –limit 1/s -j RETURN
iptables -A synfoold -p tcp -j REJECT –reject-with tcp-reset
iptables -A INPUT -p tcp -m state –state NEW -j synfoold
# 禁止PING

iptables -N ping
iptables -A ping -p icmp –icmp-type echo-request -m limit –limit 1/second -j RETURN
iptables -A ping -p icmp -j REJECT
iptables -I INPUT -p icmp –icmp-type echo-request -m state –state NEW -j ping
# 端口过滤

#这个script 内容，很适合只允许外面链接特定的 port服务，剩下其余的 port 就拒绝外面主动链接
iptables -A INPUT -i eth0 -p tcp –dport 21 -j ACCEPT
  iptables -A INPUT -i eth0 -p tcp –dport 22 -j ACCEPT
  iptables -A INPUT -i eth0 -p tcp –dport 80 -j ACCEPT
  iptables -A INPUT -i eth0 -p tcp –dport 389 -j ACCEPT
  iptables -A INPUT -i eth0 -p tcp –dport 1002 -j ACCEPT
  iptables -A INPUT -i eth0 -p tcp –dport 1720 -j ACCEPT
  iptables -A INPUT -i eth0 -p udp –dport 2121 -j ACCEPT
  iptables -A INPUT -i eth0 -p tcp –dport 3306 -j ACCEPT
  iptables -A INPUT -i eth0 -p tcp –dport 8009 -j ACCEPT
  iptables -A INPUT -i eth0 -p tcp –dport 8080 -j ACCEPT
  iptables -A INPUT -i eth0 -p tcp –dport 8081 -j ACCEPT
  iptables -A INPUT -i eth0 -p tcp –dport 10000 -j ACCEPT
  iptables -A INPUT -i eth0 -m state –state RELATED,ESTABLISHED -j ACCEPT
  iptables -A INPUT -i eth0 -m state –state NEW,INVALID -j DROP

ipdrop
　　如果能创建一个特殊的”ipdrop”脚本，其被设计为能方便地插入一个规则来阻塞指定的IP，那么将上面的工作将非常容易。通过该脚本阻塞某个IP将是非常容易的工作，只需要几秒钟就可以实现。而且通过该脚本还可以防止手工加入规则时容易出现的错误。因此阻塞黑客的攻击将变为确定其攻击源地址。然后通过如下命令：

# ipdrop 129.24.8.1 on

IP 129.24.8.1 drop on.
　　
ipdrop脚本将立即阻塞129.24.8.1。通过使用该脚本能显著地提高你的防卫能力。下面就是ipdrop脚本的

实现：
The ipdrop bash script
#!/bin/bash
source /usr/local/share/dynfw.sh
args 2 $# “${0} IPADDR {on/off}” “Drops packets to/from IPADDR Good for obnoxious networks/hosts/DoS”
if [ "$2" == "on" ]
   then

#rules will be appended or inserted as normal

APPEND=”-A”
INSERT=”-I”
rec_check ipdrop $1 “$1 already blocked” on
record ipdrop $1
elif [ "$2" == "off" ]
     then

#rules will be deleted instead

APPEND=”-D”
INSERT=”-D”
rec_check ipdrop $1 “$1 not currently blocked”off
unrecord ipdrop $1
     else
      echo “Error: “off” or “on” expected as second argument”
exit 1
   fi

#block outside IP address thats causing problems
#attackers incoming TCP connections will take a minute or so to time out,
#reducing DoS effectiveness.

iptables $INSERT INPUT -s $1 -j DROP
iptables $INSERT OUTPUT -d $1 -j DROP
iptables $INSERT FORWARD -d $1 -j DROP
iptables $INSERT FORWARD -s $1 -j DROP

echo “IP ${1} drop ${2}”
ipdrop:解释
　　从上面的脚本源代码中最后四行内容可以看到实际的命令是在防火墙表中插入适当的规则。可以看到$INSERT变量的值取决于在命令行参数中是使用”on”还是”off”模式。当iptables行被执行时特定的规则将被适当的插入或删除。

　　现在我们看看这些规则本身的功能，它们能和任何类型的防火墙一起发挥作用，甚至在没有部署防火墙的系统上。需要的条件仅仅是支持iptables的Linux2.4版本的内核。我们阻塞来自恶意IP的攻击数据报(第一条iptables语句)，阻塞发向恶意攻击IP的数据报(第二条iptables语句)，并且对该IP关闭任意方向的数据转发(最后两条iptables工具)。一旦这些规则发挥作用系统将丢弃满足这些条件的任何数据报。
　　
    另外一个需要注意的是：脚本中调用了”rec_check”, “unrecord”, “record”,和”args”。这些都是定义在”dynfw.sh”中的特殊的bash函数。”record”函数实现将被阻塞的IP记录在文件/root下隐藏文件dynfw-tcplimit中，而”unrecord”则是将其从文件/root下隐藏文件dynfw-tcplimit中去除。”rec_check”函数是在发现试图重新阻塞某个已经阻塞的IP地址或取消某个没有被阻塞的IP地址时输出错误信息并停止脚本执行。”args”函数实现确保命令行参数的正确性，并实现打印脚本帮助命令。文件dynfw-1.0.tar.gz包含所有的这些工具。
 
 
tcplimit
　　如果你需要对某个特殊的基于TCP的网络服务的使用进行限制(例如在端系统上产生严重负载时)，则tcplimit脚本则可以帮助你达到这个目的，该脚本使用TCP端口、一个率值和”on”或”off”作为参数：
# tcplimit 873 5 minute on
Port 873 new connection limit (5/minute, burst=5) on.
　　
    tcplimit使用iptables的”state”模块(应确保在内核中打开该选项或加载模块)来实现在某段时间内只允许特定数目的连接请求通过。在本例中防火墙将限制每分钟只允许5个新连接到我的rsync服务器(port 873)。当然你可以根据需要选择时间单位为秒钟/分钟/小时。
　　
    tcplimit提供了一个限制对非关键服务的使用的非常好的方法－这样大量到非关键服务的数据不会破坏服务器。在上面的例子中使用tcplimit来设置使用rsync的限制，以防止tsync数据占用了Internet连接的所有带宽。其中连接服务限制信息记录在文件/root下隐藏文件dynfw-tcplimit中。若想关闭该限制只需要键入如下命令：
# tcplimit 873 5 minute off
Port 873 new connection limit off.
　　
    tcplimit通过在”filter”表中创建一个新的规则链来实现。这个新的规则链将拒绝所有超过指定限制的数据报，同时将一个规则插入到INPUT规则链中，其将所有的到目标端口(在本例中是873端口)的新连接数据报定向到这个新的规则链。新规则链只会影响新的超过限制的连接而不会影响已经建立的连接。
　　
   当tcplimit定义的规则被关闭，INPUT规则和新规则链则会被删除。象ipdrop一样其tcplimit可以和任何类型的防火墙一起工作。
 
host-tcplimit
　　host-tcplimit和tcplimit非常类似，但是它是限制来自一个特定的IP的到服务器上某个特定端口的TCP连接数量。host-tcplimit在防止某个特定的人滥用你的网络资源时非常有用处。例如你维护有一个CVS服务器，有一天突然发现一个特殊的新开发者出现了，他好像建立了一个脚本每十分钟更新它的资源。占用了大量的网络资源。
　　
   对于这种情况，使用host-tcplimit可以非常容易的解决问题：
 
# host-tcplimit 1.1.1.1 2401 1 day on
　　
现在IP地址为1.1.1.1被限制为每天只能进行一次CVS连接从而节省了网络带宽。