零成本抗DDoS实战：中小企业自建防御体系的5大开源武器库｜2025年极简防护指南

# 域名接入Cloudflare后配置规则（免费版）  
1. 启用Under Attack模式：挑战异常流量  
2. 设置防火墙规则：拦截已知攻击IP段  
   - 示例：封禁ASN编号为XXXX的ISP  
3. 启用Rate Limiting：  
   - 路径：规则 → 速率限制  
   - 配置：每10秒允许15次API请求  

# 安装与配置（CentOS）  
yum install fail2ban -y  
cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local  

# 配置Nginx防护规则  
vim /etc/fail2ban/filter.d/nginx-ddos.conf  
[Definition]  
failregex = ^<HOST> -.*"(GET|POST).*HTTP.*" (503|429)  
ignoreregex =  

# 启动防护  
systemctl start fail2ban  

# 调整sysctl参数（/etc/sysctl.conf）  
net.ipv4.tcp_syncookies = 1  
net.ipv4.tcp_max_syn_backlog = 2048  
net.ipv4.tcp_synack_retries = 2  
net.ipv4.netfilter.ip_conntrack_max = 655360  

# 立即生效  
sysctl -p  

# 基础防护规则集  
iptables -A INPUT -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j ACCEPT  
iptables -A INPUT -p tcp --syn -j DROP  
iptables -A INPUT -p udp --dport 53 -m limit --limit 5/sec -j ACCEPT  
iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT  

# 保存规则（CentOS）  
service iptables save  

http {  
    limit_conn_zone $binary_remote_addr zone=perip:10m;  
    limit_conn perip 50;  # 单IP最大并发连接数  
    limit_req_zone $binary_remote_addr zone=reqlimit:10m rate=30r/s;  

    server {  
        limit_req zone=reqlimit burst=50 nodelay;  
        location /api/ {  
            limit_req zone=reqlimit burst=20;  
        }  
    }  
}  

# 使用ipset管理黑名单  
ipset create ddos_blacklist hash:ip timeout 86400  
iptables -I INPUT -m set --match-set ddos_blacklist src -j DROP  

# 自动更新黑名单（脚本示例）  
wget -O- https://lists.blocklist.de/lists/all.txt | grep -Eo '[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}.[0-9]{1,3}' | xargs -I {} ipset add ddos_blacklist {}  

graph LR  
A[用户] --> B[Cloudflare]  
B --> C{攻击检测}  
C -- 正常 --> D[阿里云ECS-主]  
C -- 恶意 --> E[黑洞路由]  
D --> F[腾讯云ECS-备]