如何通过iptables阻止FIN-WAIT-2？

Question

我的网站现在受到ddos攻击，“ ss -ant”显示来自一个IP（和随机端口）的许多FIN-WAIT-2（和一些FIN-WAIT-1）连接，大约500-700个连接：

FIN-WAIT-2 0      0         ::ffff:MY_IP:443                 ::ffff:ATTACKERS_IP:RANDOM_PORT   
.... 500-700 times

我正在尝试使用

iptables -A INPUT -s ATTACKERS_IP -j DROP

和

iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,RST RST -m limit --limit 1/s -j ACCEPT

和

echo "2" > /proc/sys/net/ipv4/tcp_fin_timeout

但是它无济于事-新的连接来自另一个随机端口。

因此，如何通过iptables（或可能以其他方式）完全阻止特定IP，以防止ip-finit-wait-2泛滥而冻结服务器？

Answer 1

这取决于，有很多方法可以解决问题。如果您是外国语言国家/地区，则可以屏蔽整个国家/地区（前提是您的网站不具有国际市场或兴趣）。要么您可以阻止整个ip块要么您可以使用cloudflare来缓解问题要么你可以....