单一世界【6】DDOS防御

发布时间:2020-03-17 发布网站:大佬教程
大佬教程收集整理的这篇文章主要介绍了单一世界【6】DDOS防御大佬教程大佬觉得挺不错的,现在分享给大家,也给大家做个参考。

DDOS防御是个很重要的课题,对于大公司来说,有很多资源可以调配,但对小型应用来说,却是灭顶之灾。这个主要讨论下,如何让小型的应用最大限度的抵御DDOS。

首先,我们要针对的是,导致带宽耗尽的情况。至于碎片攻击或者针对操作系统漏洞的情况就不考虑了。我们知道,DDOS最常用的方式,是利用大量的肉鸡在同一时刻发起攻击,导致某个服务系统无法响应合法的请求。通常来说,一个网络服务总是以一个域名为标记的,比如g.cn。DDOS的目标就是以G.CN无法响应合法用户请求为目标。

我们知道,一个合法的请求和响应,总是要经过几个步骤:

1、域名解析G.CN-->74.125.95.160

2、向该IP发起请求

3、接收结果返回

在常用的做法中,由域名服务器管理多个IP对应一个域名来实现负载均衡。或者在一个IP后面建立一个集群。一个DDOS的发起,最终总是针对于一个具体的IP,如果多个IP对应同一个域名,那么必须同时让所有的IP服务失效。对于一个小型的应用来说,这个显然不现实。那么,我们如果要防御DDOS,只能有2种可能:1、让攻击的目标IP不再是自己的;2、让攻击找不到自己的IP,将DDOS扼杀在发动的之前。这2种方案完全将游击战术发展到极致,就是“藏”。

我们知道,类似宽带之类的就是一个动态IP,当宽带遭到DDOS的时候,很容易就崩溃了,因为他的带宽十分有限。但是,这种情况下,如果重新刷新IP,这时,DDOS所攻击的IP地址就被转移到其他地方去,而自己的机器就得到保护。同时,也带来了另外一个问题,访问者如果保证及时准确获得新的IP呢?我们知道花生壳之类,提供了这种动态域名解析。如果攻击者要攻击花生壳的域名解析,显然代价要大的多。由于攻击者不是合法的服务器的合法用户,所以,他对动态域名的变化是不敏感的,这样就能导致他的攻击失效。这种办法采用的是第一种方案。

第二种方案需要客户端的配合。因为我们要隐藏真实的IP,但同时要让合法的客户所知道,因此,我们必须有一个协议,让合法的用户得到我们真实的IP,显然,我们需要第三方来发布真实IP,而这第三方又是DDOS无力攻击,或者攻击代价很大的服务商。我选择CODE.GOOLE.COM作为发布位置,为什么呢?首先,GOOGLE的带宽和强大的服务器保证我们发布地不会垮掉。我们在CODE上发布一组文件,这个文件包含用户名、用户密码、公钥为主要索引HASH出来的值,客户端知道自己的用户密码以及公钥,就能获取准确的文件,然后从文件的内容中解析出真实的IP。

以上2个办法从不同的角度,提高发动攻击的难度,从而保护了我们的真实服务器。

显然,如果攻击者是我们的合法用户的话,那么,他将同样能够捕捉到真实的IP。如果这样的话,那么除了换IP,似乎没有其他办法了。

大佬总结

以上是大佬教程为你收集整理的单一世界【6】DDOS防御全部内容,希望文章能够帮你解决单一世界【6】DDOS防御所遇到的程序开发问题。

如果觉得大佬教程网站内容还不错,欢迎将大佬教程推荐给程序员好友。

本图文内容来源于网友网络收集整理提供,作为学习参考使用,版权属于原作者。
如您有任何意见或建议可联系处理。小编QQ群:277859234,请注明来意。