主页 / server / 问题 / 475029
Accepted
Willem
Asked: 2013-02-04 13:45:16 +0800 CST

欺骗性 DDoS 保护策略，过滤窗口大小 == 0？

  • 772

我被 SYN 洪水击中，几乎杀死了我的 ipvs 负载均衡器的网络堆栈（80K 数据包/秒）。“ksoftirqd”进程占用了 100% 的 CPU，机器几乎无法响应网络。tcpdump 显示如下数据包：

21:24:40.994920 IP 193.41.136.187.17435 > MY-IP.80: Flags [S], seq 3387555840, win 0, length 0
21:24:40.994940 IP 46.159.109.102.63863 > MY-IP.80: Flags [S], seq 4209573888, win 0, length 0
21:24:40.994961 IP 32.199.104.48.30346 > MY-IP.80: Flags [S], seq 512360448, win 0, length 0

除了零窗口大小外，我在洪水中找不到共同点，这可能是过滤的一个钩子。

  1. ksoftirqd 确实是瓶颈吗？
  2. 有没有办法在 linux box 到达 ksoftirqd bottelenck 之前对其进行过滤？
  3. 如果不是，我如何在我的 Cisco 6509 上过滤窗口大小 == 0？

谢谢！

linux

1 个回答

  1. Best Answer

    好的，所以瓶颈原来是 iptables 规则/nat/连接跟踪。

    -A INPUT -p tcp -m tcp --tcp-flags SYN -m u32 --u32 0x6&0xff=0x6&&0x4&0x1fff=0x0&&0x0>>0x16&0x3c@0xc&0xffff=0x0 -j DROP

    以此为第一条规则，机器上的负载显着下降。

    • 0

相关问题