个人腐竹如何经济廉价的防御DDoS

556天前 · 服务器 · 7479次阅读

因为近期很多腐竹都遭到了DDoS的攻击,本人也不例外。为了帮助广大公益服腐竹,本人总结了一些个人经验,希望能对大家有所帮助。

注:本文重点在于“如何经济廉价的解决DDoS攻击所带来的影响”,所以各大厂商高昂的DDoS防御服务不在本文的介绍范围内。

本文集中整理“方法列表”,而具体提及的一些方法的具体使用如果不懂请自行搜索。没有提到的一般都是网上都能搜索到的。

由于云环境多样复杂,本文提到的方法不一定对你都有帮助,请自行甄别有用的信息,灵活的去应对DDoS攻击。

要点该要:

  1. 网站免费Cloudflare CDN服务
  2. 高防内穿节点
  3. 大厂服务器异地容灾
  4. 家庭动态公网IP
  5. 软件防火墙
  6. 高防服务器
  7. DNS均衡负载

认清DDoS本质

对于DDoS攻击的专业解释网上有很多,这里就不过多赘述了。通俗的来讲,DDoS就是由多台主机通过发送大流量的数据包,让你的服务器造成网络堵塞,从而达到让你的服务器无法正常访问的目的。

这是我在知乎上看到的一个比方:假如你的服务器是一个餐厅,一共能承载50个人,这时你的竞争对手突然拍出了几千号人,一拥而上来到你的餐厅,占着座位不点菜,坐一会就走,然后又来了一个同样的人,这样想来你餐厅吃饭的人就没法正常就餐了。

这是一个很通俗的解释,从中可以抓到这几个要点:

  • DDoS攻击具有时效性。因为是占用带宽导致的网络堵塞,等待攻击结束后服务器自然也可以恢复正常。
  • DDoS需要具有一定的量才有效,如果只是低流量的攻击,无法造成实际影响。而这种“量”的说法是相对的
  • DDoS并非无成本攻击。如果是小量的DDoS攻击,或许可以经过各种途径获取。但是如果想要打出百G级别的攻击,很多情况下并不是“免费”就可以搞定的。需要耗费一定的“资源”。而这种资源的表现有很多种,如:钱,服务器,肉鸡等。

DDoS的认知

当你明白这三点后,你可能会意识到这是一场“资源战”。比的,就是你的资源和攻击者的资源,谁更有力,就是谁的胜利。

这就是为什么说“攻击量的说法是相对的”。如果他攻击的量对你的服务没有正常影响,那么就可以约等于“没有遭受到攻击”,无非就是餐厅多了几个闲的没事进来转悠的人而已。

而“DDoS的攻击具有时效性”和“DDoS攻击并非无成本”这两点,注定攻击者无法进行长时间的攻击。而这个时间有多长,要依据情况来判定。要清楚:攻击者的目的是让你的服务无法正常访问,所以比到最后,如果你的服务依旧正常运行,而他的资源告捷,就是你的胜利。

所以DDoS的攻击/防御很有可能会变成长时间的拉锯战,要做好心理准备,活到最后的,才是赢家。

1. 使用Cloudflare进行网站防护。

Cloudflare是一个十分知名的网络安全服务商。你应该在不少国内外网站都见过他的身影。本文依旧不会进行Cloudflare的对接教程说明,如果不懂请自行搜索。

如果你是没有很多钱的个人站长,却遭受了DDoS攻击,那么Cloudflare的免费套餐是你的不二之选。

使用Cloudflare免费套餐的优点:

  1. 永久免费,不限流量,Cloudflare的免费套餐可以说是独一无二的。不要小瞧了这点,这是迄今为止所有的国内CDN厂商都无法做到的。
  2. 防火墙自定义规则,流量拦截,五秒盾,CC防护。这些很多功能放在国内CDN厂商/软件防御都是付费的功能,Cloudflare免费套餐一条龙备齐,一个不差。
  3. 可以隐藏你的服务器源IP地址,让攻击者溯源攻击变得更加困难。
  4. 如果你的服务器是国外被墙IP,国内无法正常访问,那么通过套Cloudflare免费套餐你的服务网站即可正常访问。

使用Cloudflare免费套餐的缺点:

  1. Cloudflare免费套餐只能对接网站服务,如果你是开Minecraft服务器,游戏服务,内网穿透等服务,是无法使用Cloudflare免费服务的。付费服务似乎支持25565端口的使用,不过价格和门槛原因本文不再讨论,有兴趣可以自己搜索。
  2. 由于Cloudflare是国外服务商,你的服务器又是国内服务器,所以不可避免的会大幅增加访问延迟,虽然可以通过自选IP等方式缓解,但速度肯定不如你国内服务器来的快。
  3. Cloudflare免费套餐的防护并非绝对的,攻击者如果极其针对你,可以通过各种手段进行溯源,然后直接攻击源站IP,这样你的Cloudflare就跟没套没两样。

2. 使用高防内穿节点进行防护

如果说Cloudflare免费套餐只能对接网站服务,那么这个方法(内穿:内网穿透,反代:反向代理)可能是对已有服务器的其他服务的腐竹是不二之选。

这个方法支持的服务有很多,包括但不限于建站,Minecraft服务器,游戏服务器,个人网盘等服务。

使用反代后,玩家都将通过反代服务器进行连接,再由反代服务器发送数据到你的服务器。同理,攻击者的攻击流量也会被打到反代服务器上,并不会直接攻击到你的服务器,由于反代服务器拥有高防节点IP,所以对方的攻击无法对反代服务器造成影响,自然对你的服务也就没有影响。

使用本方法切忌:不要再将源站IP公开!,这样攻击者可以直接攻击你的源站IP,套了和每套没什么区别。

本方法的优点:

  1. 反代可隐藏源站IP,转移攻击者攻击对象,从而达到减轻服务器负担的效果。
  2. 节省自行另购高防IP/高防服务器的成本,部分内穿服务并不会很昂贵,是很有性价比的选择。

本方法的缺点:

  1. 反代后所有连接服务都将显示反代服务器的IP,无法直接查询访问者的真实IP,具有一定的安全隐患。
  2. 受限于内穿分配带宽,原本的带宽在实际使用体验中会有缩水。
  3. 本方法需要花费一定资金才能实行。尽管也有免费的内穿服务,但是否合适还待商定。所以是否“经济廉价”,取决于你是怎么用的。

3. 大厂服务器“异地容灾”快速恢复。

这里的“大厂”指的是阿里云,腾讯云这种大规模,规范化的云服务厂家,其他云可参考是否有类似功能来判定本方法能否使用。

很多大厂服务器的用户都有一个这种烦恼:服务器不经打。一被DDoS攻击就会被拉入黑洞,长时间无法正常访问。因为大厂默认机器防御只有5Gbps,超出防御流量的攻击就会被拉入黑洞,黑洞属于“大厂的自行防卫措施”(简单来讲就是节省成本),时常2小时到1天不等。然而大厂提供的DDoS攻击防护套餐又贵的离谱,显然不是个人腐竹可以支撑的起的。而且往往一些服务器是无法自行接触黑洞状态的(如轻量应用服务器),黑洞状态下上述的两种方法又无法使用。那想要快速经济的解决黑洞问题,可以参考如下流程:

  1. 服务器创建快照备份。快照备份会备份你云服务器内的所有数据,如果有数据丢失等情况使用备份快照可以轻易恢复。
  2. 将备份快照创建为自定义镜像。我们都知道云服务器在选购时会让用户选择镜像。而通过快照创建的自定义镜像包含了你备份的所有数据。
  3. 创建小时计费服务器,并选择自定义镜像。这样你新创建的服务器具有你被拉入黑洞的服务器的所有数据,开服即用,十分方便。而小时计费服务器是作为你的常用服务器的应急“异地容灾”,在常用服务器恢复正常后将数据导回常用服务器,再将小时计费服务器销毁即可。

按黑洞时间1天,小时计费服务器0.025元/时 来计算,一天下来的费用也就0.025*24=0.6元。即可做到快速从黑洞状态恢复。

这个方法在很多DDoS攻击应对相关文章中并没有提及,也很容易被人忽略。这也是本人大厂服务器被DDoS后通过各路道友的指点,最终发现的解决方法。其特点就是快速且经济廉价的从黑洞状态恢复

“异地容灾”往往需要用到多台服务器同时工作,而部分个人腐竹可能无法支撑起长时间多台服务器的费用开销,所以我认为将小时计费服务器作为常用服务器黑洞状态时的“异地容灾”服务器,是个很好的方法。

当然,并不是小时计费服务器就抗打了,所以要结合上述两种方法,进行源站IP隐藏,才能起到防护作用。简单来说,这个方法可以让你的服务器快速“活”起来,但是没法保证他一会又“死”掉。不过死掉了也很简单,释放掉重新再来一台就是了(笑)

4. 家庭动态公网IP

这个方法具有一定的门槛和危险性,因为未知的情况太多,无法保证对你家的网络会造成什么影响,请慎重选择。

为什么说家庭动态公网IP可以防御DDoS?因为不像云服务器,上层还有云厂商的网关监控流量,会把你拉入黑洞。家庭公网IP上层就直接是网络服务运营商,没有黑洞这一说,被打后撑死网络阻塞,不需要多久即可自动恢复正常。手动进行重新拨号跟没事人一样()原理类似于弹性公网IP。这是我个人目前认为防御DDoS最低成本的选择,公网IP是可以免费申请的,路由器重新拨号也只是动动手的事。但是据说过大流量的攻击会让服务商关闭你的公网,甚至可能造成范围内断网,所以还是谨慎使用为好。

如果想要用这个方法,你首先要确认你家的带宽服务商是哪家。电信大概率可以通过拨打客服电话申请到公网IP,联通看脸,移动大内网移不动,从网络架构来讲就没法给你公网,基本就无望了。

如果不知道自己家里有没有公网IP,可通过如下方法验证:

  1. 通过ipip.net查询自己的外网IP地址,注意是外网IP,不是内网。
  2. 路由器使用DMZ映射指向你的局域网内的电脑IP。
  3. 被映射电脑开放防火墙,随便搭建一个外网服务(MC服务器,网站一类的都可以)
  4. 通过查询到的外网IP访问服务,访问成功即可表明外网IP已开通。

内网DMZ映射设备其实已经可以作为一个“服务器”看待,这也是诸多家里云运营的基础条件。其最大优点就在于没有上级网关会莫名其妙的给你拉黑洞,尽管被DDoS依旧会造成短时间的无法访问,但是这种状态过不了多久就会自动恢复,心放宽点说就约等于没打。

这个方案也是本人长期使用的方案,亲历证明小流量攻击(100G以内)是可以视作无效的。但是也不排除出现上述弊端的可能性,所以本人不是非常推荐使用。

5.软件防火墙

软件防火墙也不为失是一种可以选择的防御措施。个人常用的软件防火墙为安全狗,安全狗支持Windows Server/linux等多种服务器系统,可以在一定程度上拦截已攻击的流量进行清洗,从而达到加速缓解DDoS攻击带来网络阻塞的效果。

当然,这个方法并不是一个有效的防护DDoS的措施,如果你的服务器是大厂服务器,在受到攻击后会立刻被拉入黑洞,服务器根本没有多余的时间去清理流量就已经死掉了),所以这个方案适合搭配“家庭动态IP”去结合使用,可能会更加有效。

6. 高防服务器

这应该是最简单粗暴的解决方式了:直接购买高防服务器,从物理层面可以抵挡一定程度的DDoS流量攻击。就像之前打比方的一样,DDoS是一场资源战,既然你拍出了千人来阻塞,那我就把餐厅扩建到可以承载万人,也就相当于没被打)

但是和第二条高防内穿节点同理,这点是否“经济廉价”,取决于你如何选择。网上的IDC什么样的,什么价格的都有,要考虑到防御,稳定性,安全性,性能还有性价比等因素综合考虑。

7. DNS均衡负载

这个功能需要用到域名,并且需要你的DNS服务器支持不同线路的解析,看情况还需要用到多台服务器或者高防内穿节点,可以视作第二条和第五条的进阶版。

通过DNS域名的线路设置,你可以使同一域名下不同线路解析到不同的服务器/节点,以此达到负载均衡的作用。如阿里的DNS,免费版即可设置默认/中国电信/中国联通/中国移动/中国教育网/境外等线路。如果有条件可以每个线路设置不同的服务器,那样对应线路的访问就会被分配到你解析的对应服务器上,即可做到负载均衡的效果。

另一个好处是,通过DNS均衡负载,即使是很多免费提供但是带宽极小的内穿节点,只要申请多个节点,并使用DNS均衡负载,即可实现理论上的“带宽叠加”的效果,对于服务器节点也是同理。

这样做可以分流来自不同线路的DDoS攻击,不过相对的成本要更加昂贵一些。如dnspod免费版并不支持线路解析,需要升级才可进行。但是升级版本的dnspod解析更加细致,细致到每个省每个市都能给你分配一条解析线路出来。如何使用,请各位自行定夺。

同样,使用这个方法不要透露源站IP,只有保护源站IP不被泄露,不要裸奔,才是DDoS低成本防御的第一步。

结语

本文提供的几个方法并不一定对所有服务器都适用,请结合自身的条件选择合理的防护解决方案,是作为一个腐竹所必修的科目。当然,这些方案可以合理组合使用,比如家庭带宽+软件防火墙,高防服务器+高防反代+DNS均衡负载,网站国外走Cloudflare/国内走国内厂商CDN等等,合理搭配防护解决方案可以有效增加服务器的防御力度,且可有效节省成本,从而实现“经济廉价的防护服务器”的目的。

DDoS攻击尽管是对各大腐竹很强有力的报复手段,近期甚至有多个公益服务器遭受攻击,包括本人的服务器在7月份也遭受了近一个月的攻击。很多公益服腐竹都会因为碍于DDoS防护高昂的费用而被迫放弃开服活动,殊不知这样正中攻击者的下怀。我希望我提供的这些方案能够帮助到一些腐竹渡过难关,也祝愿各大DDoS攻击者早日超生,不要祸害人间()

👍 11 支持 ☕
支持 ☕

服务器 DDoS 防护 经济

最后修改于555天前

评论

贴吧 狗头 原神 小黄脸
收起

贴吧

  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡
  • 贴吧泡泡

狗头

  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头
  • 狗头

原神

  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神
  • 原神

小黄脸

  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  • 小黄脸
  1. 冬天冬天W 217天前

    五郎您好,默默关注你好久了!我是一个MC小白,搭建了一个个人博客希望能够记录一些知识。不知道您能否同意我转载本文。我将会附上本文的链接,望同意。 mianqiang

  2. 晚秋夕巷 550天前

    DDoS防护使用外面小商家的服务器(他们宿主机共享防御 很便宜的)
    然后安装kangle做反向代理,kangle的防cc特别强(kangle4核4G的vps服务器能抗两万的访问链接数),对于我们这些小网站完全够用了

    1. SummerGoro 550天前

      确实,不过我之前有看到有大佬分享基于kangle腾讯云内网互联的方案,据说就算服务器被拉黑洞网站还能正常访问,挺感兴趣的,有时间想研究研究。小商家我个人来说不太信得过,有心理阴影´_>`

      1. 晚秋夕巷 550天前

        代理服务器不存放数据喔,完全不怕跑路的

        1. SummerGoro 550天前

          拿来做反代吗?

  3. SHIERTX 555天前

    重庆移动有公网 IPv6-only 一个设备分三个6 huaji_djy

  4. 程晚风 555天前

    精辟 透彻 刘涛 chaiquan_melon

  5. Critts_鸽子 556天前

    文末亮了 chaiquan_melon hemenjiu

    1. SummerGoro 553天前

      那是huaji_mj huaji_mj huaji_mj

    2. SummerGoro 553天前

      huaji_mj

目录

avatar

SummerGoro

又是懒懒散散的一天)

92

文章数

227

评论数

5

分类

薇尔莉特