network-security - 防止网站拒绝服务攻击的最佳方法

Question

我有一个网络应用程序，如果它在短时间内发出很多请求，我想通过阻止 IP 地址来防止 DOS 攻击。

例如，如果同一 IP 地址在一秒钟内发出 100 个请求，我可以假设这是某种攻击，我想阻止该 IP。

但是，在应用层进行这种检查似乎太昂贵了 - 进行这种检查的最佳方式是什么？

我应该在我的:

• 防火墙
• 路由器
• apache 配置
• 完全在其他地方......

Answer 1

如果您想在发出一定数量的请求时阻止 IP 地址，最好在网络层完成。这建议您在主机的网络堆栈中或使用路由器(在网络层运行)执行此操作。

您可能需要考虑的一些事项是:- 您是真的要根据 IP 地址阻止对整个主机的访问，还是要阻止对在特定端口上运行的特定应用程序的访问。- 有时，通过使用 NAT，一个 IP 地址可能代表许多真实主机发出请求。

对于任何安全应用程序，您都需要多层防御，因此最好也投资一个好的防火墙。