CentOS服务器DDoS防御实战：从内核调优到Nginx限流

1. 项目概述为什么CentOS服务器需要主动防御DDoS如果你手头有一台跑着CentOS的服务器无论是用来托管网站、运行API接口还是作为内部业务系统那么“DDoS攻击”这个词大概率已经从技术新闻里的一个概念变成了悬在头顶的达摩克利斯之剑。我见过太多案例一个运行平稳的业务可能就因为某个竞争对手或者无聊的黑客脚本小子发起的一次流量洪水瞬间陷入瘫痪进而导致直接的经济损失和品牌信誉受损。尤其是在CentOS 7/8逐渐停止官方维护的今天系统本身的安全更新滞后使得服务器在应用层和系统层都变得更加脆弱单纯依赖云服务商提供的“基础防护”往往是不够的。DDoS分布式拒绝服务攻击它的核心逻辑并不复杂利用海量受控的“肉鸡”被控制的设备同时向目标服务器发起请求耗尽目标的网络带宽、连接数或计算资源让正常的用户请求无法得到响应。这就像一家小餐馆突然涌进来成千上万个只占座不点单的人真正的顾客根本进不来。对于CentOS服务器管理员来说攻击可能表现为网络卡顿、SSH连接困难、Web服务响应超时、系统负载飙升甚至直接宕机。所以“击退DDoS攻击”这个事绝不能等到攻击临头再手忙脚乱。它应该是一套从架构设计、系统加固、实时监控到应急响应的完整防御体系。这篇文章我就结合自己多年在运维一线对抗各类DDoS的经验从CentOS系统的角度出发拆解一套可落地、能实操的防护组合拳。我们不只讲工具怎么装更要讲清楚每个动作背后的防御逻辑和适用场景让你知其然更知其所以然。2. 防御体系构建分层设防与核心思路拆解对抗DDoS最忌讳的就是“头痛医头脚痛医脚”。一个有效的防御体系必须是分层的就像古代的城池防御有护城河、有城墙、有瓮城、有内城。对于一台CentOS服务器我们可以构建四个层次的防御。2.1 第一层网络与带宽层防御——御敌于国门之外这一层的目标是尽可能在流量到达你的服务器网卡之前就将其拦截或稀释。对于个人或中小企业来说完全靠自己扛住超大流量是不现实的。核心策略利用云服务商的防护服务。这是性价比最高、也是最有效的手段。各大云厂商如阿里云、腾讯云、华为云等都提供DDoS高防IP或原生防护服务。其原理是你将业务的公网IP更换为高防IP所有流量先经过高防的清洗中心。这里部署了庞大的带宽资源和智能清洗设备能够识别并过滤掉恶意流量只将正常的流量转发给你的源站服务器。注意很多用户有一个误区认为买了云服务器内网带宽就安全了。实际上DDoS攻击的是你的公网IP和带宽。云厂商的“基础防护”通常有很低的阈值比如5Gbps一旦攻击流量超过这个阈值就会触发“黑洞”策略即云厂商直接屏蔽你的公网IP一段时间如30分钟到2小时以保证整个网络平台的稳定。所以对于有重要业务的服务器务必评估业务规模考虑购买更高规格的DDoS防护包。自建补充调整内核参数应对连接耗尽型攻击。对于Syn Flood、ACK Flood这类旨在耗尽服务器TCP连接资源的攻击我们可以在CentOS系统层面进行加固。通过修改/etc/sysctl.conf内核参数优化TCP协议栈的行为。# 编辑内核参数配置文件 sudo vi /etc/sysctl.conf # 在文件末尾添加或修改以下参数 # 启用SYN Cookies在SYN队列满时提供防护 net.ipv4.tcp_syncookies 1 # 减少SYNACK报文的重试次数加快回收半连接资源 net.ipv4.tcp_synack_retries 2 net.ipv4.tcp_syn_retries 2 # 增大TCP半连接和全连接队列的最大长度根据内存调整 net.ipv4.tcp_max_syn_backlog 262144 net.core.somaxconn 65535 # 快速回收TIME_WAIT状态的socket适用于高并发短连接场景 net.ipv4.tcp_fin_timeout 30 net.ipv4.tcp_tw_reuse 1 net.ipv4.tcp_tw_recycle 0 # CentOS 7 建议设置为0避免在NAT环境下出现问题 # 减少保持在FIN-WAIT-2状态的时间 net.ipv4.tcp_fin_timeout 30 # 使配置生效 sudo sysctl -p实操心得调整tcp_max_syn_backlog和somaxconn时需要确保你的应用程序如Nginx、Apache的backlog参数也相应调大否则系统参数生效了但应用层队列还是很小依然会丢连接。例如Nginx中需要设置listen 80 backlog65535;。2.2 第二层操作系统层防御——加固城墙攻击流量穿过第一层网络防线后就会到达服务器操作系统。这一层的目标是强化系统本身减少可以被攻击利用的弱点并限制单个攻击源的影响。核心策略一防火墙FirewallD/iptables精细化管控。CentOS 7及以上默认使用FirewallD但底层依然是iptables。我们需要制定严格的入站规则。限制单IP连接数这是应对CC攻击HTTP Flood的有效手段。我们可以用iptables的connlimit模块来限制单个IP地址到特定端口如80、443的并发连接数。# 安装iptables-services如果使用原生iptables sudo yum install iptables-services -y # 限制单个IP到80端口的并发连接数不超过50个 sudo iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j REJECT --reject-with tcp-reset # 限制单个IP到443端口的并发连接数不超过30个 sudo iptables -A INPUT -p tcp --dport 443 -m connlimit --connlimit-above 30 -j REJECT --reject-with tcp-reset # 保存iptables规则CentOS 7 sudo service iptables save # 或使用firewalld的direct规则更推荐与firewalld共存 sudo firewall-cmd --permanent --direct --add-rule ipv4 filter INPUT 0 -p tcp --dport 80 -m connlimit --connlimit-above 50 --connlimit-mask 32 -j REJECT sudo firewall-cmd --reload参数解释--connlimit-above 50表示连接数超过50就触发规则。--connlimit-mask 32表示针对单个IP32位子网掩码。这个数值需要根据你的业务正常访问模型来设定设置过低会影响正常用户设置过高则失去防护意义。通常可以先观察日志统计正常用户单IP的最大并发数然后在此基础上增加一个安全余量。设置端口敲门Port Knocking对于SSH这类管理端口可以隐藏起来。只有按特定顺序“敲击”尝试连接几个封闭的端口后防火墙才会临时开放SSH端口。这能极大减少SSH的暴力破解和扫描。实现需要用到knockd服务配置稍复杂但安全性提升显著。核心策略二禁用不必要的服务与内核调优。关闭像rpcbind、nfs等用不到的服务减少攻击面。使用systemctl disable service_name来禁用。同时可以继续优化sysctl参数比如调整net.ipv4.ip_local_port_range来扩大本地端口范围增加攻击者耗尽本地端口的难度。2.3 第三层应用服务层防御——城门守卫流量到达具体的Web服务器如Nginx/Apache或应用如MySQL。这一层的防御最为关键因为很多CC攻击模拟的是正常HTTP请求网络层很难区分。核心策略使用Web服务器模块或专用软件进行请求频率限制和特征过滤。Nginx限流配置Nginx的ngx_http_limit_req_module和ngx_http_limit_conn_module模块是应对CC攻击的利器。# 在http块中定义限制区域 http { # 定义限制请求速率的共享内存区10MB大小平均速率限制为每秒10个请求 limit_req_zone $binary_remote_addr zoneone:10m rate10r/s; # 定义限制连接数的共享内存区 limit_conn_zone $binary_remote_addr zoneaddr:10m; server { listen 80; server_name yourdomain.com; # 应用请求速率限制 location / { # 使用‘one’区域突发请求不超过20个无延迟nodelay模式会直接拒绝超额请求 limit_req zoneone burst20 nodelay; # 限制同一IP同时只能有10个连接 limit_conn addr 10; # 返回503状态码而非默认的503方便监控 limit_req_status 429; limit_conn_status 429; # 你的正常代理或root配置 proxy_pass http://backend; } # 特别针对登录、提交等关键接口进行更严格的限制 location /api/login { limit_req zoneone burst5 nodelay; limit_conn addr 3; proxy_pass http://backend; } } }踩坑记录burst参数设置很重要。设置太小正常用户的短暂请求高峰如页面加载多个资源也会被拒绝设置太大又给攻击者留了空间。最佳实践是结合日志分析并考虑在limit_req指令后加上delay参数如limit_req zoneone burst20 delay10允许前10个突发请求被延迟处理而不是直接拒绝体验更好。使用Fail2ban动态封禁IPFail2ban是一个神器它监控系统日志如/var/log/nginx/access.log当发现某个IP在短时间内有大量错误请求如404、503或达到你定义的恶意规则时会自动调用防火墙iptables/firewalld将其IP封禁一段时间。# 安装Fail2ban sudo yum install epel-release -y sudo yum install fail2ban -y # 创建本地配置文件避免升级被覆盖 sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local sudo vi /etc/fail2ban/jail.local在jail.local中你可以启用并定制各种“监狱”jail。例如针对Nginx的CC攻击[nginx-cc] enabled true port http,https filter nginx-cc logpath /var/log/nginx/access.log maxretry 100 # 在findtime时间内最大请求次数 findtime 60 # 统计时间窗口单位秒 bantime 3600 # 封禁时间单位秒 action iptables-multiport[namenginx-cc, porthttp,https, protocoltcp]然后你需要在/etc/fail2ban/filter.d/下创建nginx-cc.conf过滤器定义匹配恶意请求的正则表达式例如短时间内请求频率过高。Fail2ban的灵活性极高你可以为SSH、MySQL、甚至自定义应用日志编写过滤规则。2.4 第四层监控与应急响应层——瞭望塔与快速反应部队防御体系必须有眼睛和快速反应机制。没有监控攻击发生了你可能都浑然不知没有预案攻击发生时就会陷入混乱。核心策略建立立体监控和自动化应急脚本。基础资源监控使用iftop、nethogs实时查看网络流量和进程流量。使用htop、vmstat监控系统负载和CPU。将这些命令集成到Zabbix、PrometheusGrafana等监控系统中设置告警阈值如网卡入向流量持续100MbpsTCP连接数10000。网络连接分析当发现异常时立即使用netstat或ss命令分析连接。# 查看所有TCP连接数 ss -ant | awk {print $1} | sort | uniq -c | sort -rn # 查看连接到80端口最多的前10个IP netstat -ant | grep :80 | awk {print $5} | cut -d: -f1 | sort | uniq -c | sort -rn | head -10如果发现某个IP有成千上万的连接它很可能就是攻击源之一。准备应急脚本提前编写Shell脚本用于在攻击发生时快速执行“止血”操作。例如一个简单的脚本分析Nginx日志将请求频率异常的IP自动加入防火墙黑名单。#!/bin/bash # emergency_ban.sh LOG_FILE/var/log/nginx/access.log # 分析过去60秒内访问次数超过300次的IP BAD_IPS$(tail -n 5000 $LOG_FILE | awk -vDatedate -dnow-60 seconds [%d/%b/%Y:%H:%M:%S Date $4 | awk {print $1} | sort | uniq -c | sort -rn | awk {if ($1 300) print $2}) for ip in $BAD_IPS do # 使用firewalld封禁IP firewall-cmd --permanent --add-rich-rulerule familyipv4 source address$ip reject echo 已封禁IP: $ip done firewall-cmd --reload重要提醒此类脚本要谨慎使用避免误封CDN节点或代理池的IP导致正常用户无法访问。最好先手动验证或加入IP白名单机制。3. 实战部署基于CentOS 7/8的一站式防护配置理论讲完我们动手把上面提到的关键点在一台干净的CentOS 7/8服务器上部署起来。假设我们是一台Web服务器运行Nginx。3.1 系统基础加固与内核调优首先进行系统更新和最小化服务原则加固。# 1. 更新系统 sudo yum update -y # 2. 禁用不必要的服务示例根据实际情况调整 sudo systemctl disable rpcbind sudo systemctl disable nfs-server # 查看所有开机自启服务酌情禁用 sudo systemctl list-unit-files --typeservice | grep enabled # 3. 配置防火墙基础策略使用firewalld sudo systemctl start firewalld sudo systemctl enable firewalld # 放行必要端口 sudo firewall-cmd --permanent --add-servicehttp sudo firewall-cmd --permanent --add-servicehttps sudo firewall-cmd --permanent --add-port22/tcp # SSH端口建议后续修改为非22并设置端口敲门 sudo firewall-cmd --reload # 设置默认区域为drop激进策略新手慎用或更安全的public # sudo firewall-cmd --set-default-zonedrop接着应用我们之前讨论的内核参数优化编辑/etc/sysctl.conf并执行sysctl -p。3.2 Nginx防护配置实战安装Nginx后进行深度防护配置。# 安装Nginx sudo yum install nginx -y sudo systemctl start nginx sudo systemctl enable nginx编辑Nginx主配置文件/etc/nginx/nginx.conf在http块内进行全局限流设置并在具体的server块中应用。user nginx; worker_processes auto; # 根据CPU核心数调整 error_log /var/log/nginx/error.log warn; pid /run/nginx.pid; # 限制每个worker进程能打开的最大文件描述符数对应系统级连接数 worker_rlimit_nofile 65535; events { worker_connections 65535; # 增大单个worker的连接数 use epoll; # 使用高效的epoll模型 multi_accept on; # 允许同时接受多个新连接 } http { include /etc/nginx/mime.types; default_type application/octet-stream; # 关键定义限流和限连接区域 # $binary_remote_addr 以二进制格式存储IP更节省内存 limit_req_zone $binary_remote_addr zoneperip_req:10m rate5r/s; limit_conn_zone $binary_remote_addr zoneperip_conn:10m; # 针对服务器总连接数也可以做限制根据内存调整 limit_conn_zone $server_name zoneperserver_conn:10m; # 日志格式加入请求时间便于分析慢请求和攻击 log_format main $remote_addr - $remote_user [$time_local] $request $status $body_bytes_sent $http_referer $http_user_agent $http_x_forwarded_for rt$request_time uct$upstream_connect_time uht$upstream_header_time urt$upstream_response_time; access_log /var/log/nginx/access.log main buffer32k flush5s; # 缓冲写入减轻磁盘IO压力 # 隐藏Nginx版本号增加攻击者信息收集难度 server_tokens off; # 其他HTTP优化参数... sendfile on; tcp_nopush on; tcp_nodelay on; keepalive_timeout 65; types_hash_max_size 2048; include /etc/nginx/conf.d/*.conf; # 一个具体的server块示例 server { listen 80 backlog65535; # 与内核参数somaxconn对应 server_name www.yourdomain.com; # 应用全局连接数限制到本server limit_conn perserver_conn 1000; location / { # 应用针对单个IP的请求速率和连接数限制 limit_req zoneperip_req burst10 nodelay; limit_conn perip_conn 20; limit_req_status 429; limit_conn_status 429; # 设置一个较短的代理超时防止慢速攻击占用连接 proxy_connect_timeout 5s; proxy_send_timeout 10s; proxy_read_timeout 30s; proxy_pass http://your_backend; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; } # 静态资源目录可以放宽限制 location /static/ { limit_req zoneperip_req burst20 delay10; limit_conn perip_conn 50; alias /path/to/static/; expires 30d; } # 特别严格限制的管理员或API接口 location /admin/ { limit_req zoneperip_req burst3 nodelay; limit_conn perip_conn 2; # 还可以结合HTTP Basic Auth增加一层认证 auth_basic Admin Area; auth_basic_user_file /etc/nginx/.htpasswd; proxy_pass http://your_backend; } } }配置完成后使用sudo nginx -t测试配置语法无误后sudo systemctl reload nginx重载配置。3.3 Fail2ban与Nginx联动部署安装并配置Fail2ban使其能够保护Nginx和SSH。# 安装Fail2ban sudo yum install epel-release -y sudo yum install fail2ban -y # 创建本地jail配置 sudo cp /etc/fail2ban/jail.conf /etc/fail2ban/jail.local sudo vi /etc/fail2ban/jail.local在jail.local中找到并修改以下段落[DEFAULT] # 封禁时间单位秒这里设置为1小时 bantime 3600 # 查找时间窗口 findtime 600 # 最大重试次数 maxretry 5 # 使用的封禁动作这里用firewalld banaction firewallcmd-rich-rules[actiontypemultiport] # 监听的协议 protocol tcp # 日志文件路径系统日志 logpath /var/log/fail2ban.log # 启用SSH防护 [sshd] enabled true port ssh filter sshd logpath /var/log/secure maxretry 3 # SSH尝试3次失败就封 # 新增Nginx HTTP认证防护 [nginx-http-auth] enabled true filter nginx-http-auth port http,https logpath /var/log/nginx/error.log # 认证错误通常会记录在这里 maxretry 3 # 新增Nginx CC攻击防护需要自定义filter [nginx-cc] enabled true port http,https filter nginx-cc logpath /var/log/nginx/access.log maxretry 200 # 在findtime时间内请求超过200次 findtime 60 bantime 1800 # 封禁30分钟 action iptables-multiport[namenginx-cc, porthttp,https, protocoltcp]现在创建自定义的nginx-cc过滤器sudo vi /etc/fail2ban/filter.d/nginx-cc.conf输入以下内容[Definition] # 匹配Nginx访问日志中的行 failregex ^HOST -.*$ # 可选如果日志格式复杂可以定义更精确的正则例如匹配所有请求 # failregex ^HOST -.*\(GET|POST|HEAD).*$ ignoreregex # 使用datepattern匹配日志中的时间 datepattern %%d/%%b/%%Y:%%H:%%M:%%S这个过滤器比较简单它会把所有访问IP都计入。Fail2ban会根据maxretry和findtime来判断如果在60秒内同一个IP在日志中出现了200次即请求了200次就触发封禁。这是一个非常基础的CC防护可能会误伤。更高级的做法是编写匹配特定攻击模式的failregex例如短时间内大量请求不存在的URL404、或者大量请求耗时的动态接口。启动并设置开机自启Fail2bansudo systemctl start fail2ban sudo systemctl enable fail2ban # 查看状态 sudo fail2ban-client status # 查看具体的“监狱”状态 sudo fail2ban-client status nginx-cc4. 高级防护与边缘策略当基础防护部署完毕后我们可以考虑一些更高级或边缘性的策略以应对更复杂的攻击场景。4.1 启用TCP Wrappers辅助手段TCP Wrappers是一个历史悠久的访问控制工具通过/etc/hosts.allow和/etc/hosts.deny文件来控制服务的访问。它作为防火墙的补充配置简单。# 编辑hosts.deny默认拒绝所有 sudo vi /etc/hosts.deny # 加入一行 ALL: ALL # 编辑hosts.allow放行信任的IP或网段 sudo vi /etc/hosts.allow # 放行SSH仅允许来自192.168.1.0/24和特定IP的访问 sshd: 192.168.1.0/255.255.255.0 sshd: 203.0.113.5 # 放行所有对Nginx的访问因为前面已有更精细的控制这里可以宽松 nginx: ALL注意TCP Wrappers仅适用于通过libwrap库编译的服务如sshd, vsftpd。现代服务如Nginx默认可能不支持。使用前需用ldd $(which sshd) | grep libwrap检查服务是否支持。4.2 使用Cloudflare等CDN服务对于公开的Web业务将服务器隐藏在Cloudflare、阿里云CDN等服务的背后是性价比极高的DDoS缓解方案。这些CDN服务商拥有巨大的带宽和全球分布的清洗中心。工作原理你将域名的DNS解析指向CDN服务商提供的CNAME记录。所有用户访问首先到达CDN的全球边缘节点。CDN会缓存静态内容并对动态请求进行代理转发。攻击流量在CDN边缘就被识别和清洗。配置要点修改DNS将你的域名NS服务器指向CDN服务商或添加CNAME记录。配置防火墙在服务器防火墙如firewalld中只允许CDN的回源IP段访问你的80/443端口拒绝所有其他公网IP的直接访问。这能有效防止攻击者绕过CDN直接攻击你的源站IP。Cloudflare的回源IP列表可以在其官网找到。启用CDN安全功能在CDN控制台开启“Under Attack Mode”挑战模式、设置WAF规则、速率限制等。4.3 架构层面的思考对于核心业务单台服务器抗DDoS的能力总是有限的。需要考虑分布式架构负载均衡使用多台服务器组成集群通过负载均衡器如Nginx, HAProxy, 或云厂商的SLB分发流量。即使单台被攻瘫其他节点仍可提供服务。异地多活/灾备在多个地域部署服务利用DNS智能解析或全局负载均衡GSLB将用户导向健康的节点。微服务与弹性伸缩将应用拆分为微服务并结合容器化技术如DockerK8s和云平台的自动伸缩组Auto Scaling。在遭受攻击流量激增时可以自动扩容后端实例数量来分摊压力攻击停止后再自动缩容以控制成本。5. 攻击发生时的应急响应与排查实录即使防护做得再好也需要有应对攻击的预案。当监控告警响起怀疑遭受DDoS攻击时应按以下步骤冷静处理5.1 初步判断与影响隔离确认症状通过监控图表确认是否是带宽突然打满、TCP连接数飙升、CPU/内存异常、还是应用大量返回5xx错误。登录服务器如果SSH还能连接立即登录。如果无法连接尝试通过云服务商提供的VNC控制台登录。快速止血启用备用IP/域名如果业务有备用入口立即将流量切换过去。联系云服务商如果攻击流量已超过基础防护阈值触发黑洞立即联系客服了解黑洞解封时间并咨询升级高防服务的流程。临时扩容带宽谨慎对于云服务器临时升级带宽可能能缓解小流量攻击但对于大流量攻击杯水车薪且成本极高。5.2 攻击源分析与临时封禁在服务器上快速使用命令分析攻击特征。# 1. 查看实时网络流量按流量排序 sudo iftop -nNP # 2. 查看当前活跃连接数最多的IP sudo netstat -ntu | awk {print $5} | cut -d: -f1 | sort | uniq -c | sort -n | tail -20 # 3. 分析Nginx访问日志统计近期请求最频繁的IP假设攻击从1分钟前开始 sudo tail -n 10000 /var/log/nginx/access.log | awk -vDatedate -dnow-1 minutes [%d/%b/%Y:%H:%M:%S $4 Date {print $1} | sort | uniq -c | sort -rn | head -20 # 4. 如果发现明显的攻击源IP段使用firewalld批量封禁例如封禁整个/24网段 sudo firewall-cmd --permanent --add-rich-rulerule familyipv4 source address1.2.3.0/24 reject sudo firewall-cmd --reload5.3 日志深度分析与取证攻击缓解后需要分析日志了解攻击类型为后续加固提供依据。# 1. 分析攻击时间段的HTTP状态码分布 sudo awk $4[24/Mar/2025:15:00:00 $4[24/Mar/2025:15:10:00 /var/log/nginx/access.log | awk {print $9} | sort | uniq -c # 2. 分析攻击请求的User-Agent常用于识别攻击工具 sudo awk $4[开始时间 $4[结束时间 /var/log/nginx/access.log | awk -F\ {print $6} | sort | uniq -c | sort -rn | head -20 # 3. 分析攻击请求的URL路径常用于CC攻击 sudo awk $4[开始时间 $4[结束时间 /var/log/nginx/access.log | awk -F\ {print $2} | awk {print $2} | sort | uniq -c | sort -rn | head -305.4 常见问题排查表下表整理了DDoS防护中常见的问题和排查思路问题现象可能原因排查命令/步骤解决方案服务器突然无法SSH连接1. 云服务商黑洞2. 本地防火墙误封3. 系统负载过高1. 登录云控制台查看监控和告警2. 通过VNC控制台登录检查firewall-cmd --list-all或iptables -L3. 通过VNC登录运行htop、vmstat 11. 等待黑洞解封或购买高防2. 调整防火墙规则加入管理IP白名单3. 终止异常进程或进行限流Web服务访问缓慢或超时1. 带宽耗尽2. 服务器TCP连接数满3. 后端应用如PHP数据库阻塞1.iftop查看带宽2.ss -s查看总连接数netstat分析状态3. 检查应用日志、数据库慢查询1. 网络层清洗或扩容带宽2. 优化内核参数启用连接限制3. 优化应用代码增加缓存数据库索引Nginx返回大量502/504错误1. 后端应用服务器宕机或过载2. Nginx到后端的代理超时设置过短3. PHP-FPM等进程池耗尽1. 检查后端服务状态systemctl status2. 检查Nginx错误日志/var/log/nginx/error.log3. 检查PHP-FPM状态systemctl status php-fpm及日志1. 重启后端服务扩容2. 调整proxy_read_timeout等参数3. 增加PHP-FPM子进程数优化脚本执行时间Fail2ban未封禁攻击IP1. Fail2ban服务未运行2. 过滤器failregex不匹配日志格式3.maxretry或findtime设置不合理1.systemctl status fail2ban2.fail2ban-regex /var/log/nginx/access.log /etc/fail2ban/filter.d/nginx-cc.conf测试3. 查看fail2ban.log1. 启动服务2. 调整过滤器正则匹配实际日志格式3. 根据攻击特征调整阈值防火墙规则生效但攻击仍在1. 攻击流量巨大单机防火墙处理不过来资源耗尽2. 攻击源IP海量变化僵尸网络1.top查看CPUiftop看流量是否经过网卡2. 分析日志看攻击IP是否非常分散1.这是关键信号说明攻击已超出单机防御能力必须启用云高防或CDN2. 考虑启用基于地域、ASN的封禁需高级防火墙或脚本最后的个人体会是DDoS防护没有一劳永逸的银弹。它是一场攻防成本的博弈。对于运维人员最重要的是建立起“纵深防御”的意识从网络边界到系统内核再到应用层层层设防。同时清晰的监控和事先演练过的应急预案往往比技术本身更重要。平时多进行压力测试了解自己系统的瓶颈在哪里攻击真的来临时你才能心里有数知道该动哪里而不是盲目操作。把本文提到的各项配置根据你的实际业务流量模型调整好参数并测试你的CentOS服务器就具备了对抗常见中低强度DDoS攻击的坚实盾牌。