怎样将ddos攻击分流到不同的服务器上来减轻被攻击网站的压力？
目前，ddos攻击已经成为互bai联网上最具危害性最难du防御的攻击zhi之一。几乎所有企业dao都在寻求防御ddos攻击的办法。对于ddos攻击，普遍采用的防护手段有四种：
1、源验证／反向探测，对源进行探测和人机识别，段包括cookie、识别码等；
2、限源，即对源IP或协议进行限制，blacklist是一个常见手段；
3、特征丢弃，依据数据包的特征或访问行为进行丢弃，如基于Payload特征、发包行为特征、QPS特征等；
4、限速，对流量／访问的速率进行限流。
特别对于大流量ddos攻击的防护，与电信运营商配合也是必不可少的。其中包括与运营商配合实施就源清洗，以及在运营商侧路由器上对特定协议或特定来源的IP进行限制都是降低防护开销的办法。
除以上方法之外，还可以通过高防cdn进行ddos攻击的防护。Diycdn就是高防cdn的代表服务商之一。其加速节点拥有非常大的带宽，单个节点承受流量能力极强，可有效应对网络突发流量增加的状况。而且Diycdn在其节点及节点之间建立了智能冗余和动态加速机制，该机制可实时将访问流量分配到多个节点上，智能分流。当站点遭受ddos攻击时，整个加速系统将攻击流量全部分散开，大大降低了节点与站点服务器压力，同时加大了网络黑客攻击难度，可为服务器管理人员提供更多的应对时间，可以有效的预防黑客入侵以及降低各种ddos攻击对网站带来的影响。
另外，Diycdn可隐藏服务器源IP，大大增加了黑客攻击难度，可以有效提升了源站服务器的安全系数。如果想通过高防cdn防御ddos攻击，Diycdn一定可以帮助到你。
麻烦帮忙推荐防御DDoS攻击的解决方案
F5公司是业界领先的L4/L7交换机厂商，在不断完善对各类服务器应用的负载均衡的同时，也逐步在内核中引入安全防御的概念，并且通过F5特有的开放系统（提供i-Controller 构架下的API/SDK开发标准），联合业界著名的操作系统厂商、防火墙厂商、防病毒厂商、IDS/IPS厂商 、应用服务软件厂商，构筑起围绕服务器为核心的动态攻击防御系统。
当大数据流DoS/DDoS攻击进入的时候，服务器可能由于在瞬间接受超过服务器吞吐能力的数据流而直接导致系统崩溃，甚至导致数据丢失或客户资料遗失。而采用F5的BIG-IP保护服务器，通过EAV/ECV精确探测服务器的处理能力，从而在服务器处理能力饱和之前自动屏蔽新建链接。超过服务器吞吐能力的链接将在F5上处于waiting状态，直至有服务器空闲或TCP timeout。
与此同时，为进一步防止服务器遭受攻击过载，F5利用“iControl”技术可以帮助服务器通知网络，“此时忙，暂停服务”，然后，网络将停止再向它转发客户请求，而将客户请求继续转发至其它服务器，继续对客户应用请求提供服务。并且，服务器会同时通知3DNS，这个中心可用服务器数量减少一台，应相应减少对这个中心的客户服务请求量。当这台服务器完成所有数据记录的备份后，服务器又会通知BIGIP和3DNS，此时它已恢复正常，可以提供服务。这时，系统又恢复原有的正常状态。
对于DoS/DDoS攻击，F5对于常用的几种攻击手段，从内核级就予以屏蔽，具体实施如下：
1．Synflood:
该攻击以多个随机的源主机地址向目的主机发送SYN包，而在收到目的主机的SYN ACK后并不回应，这样，目的主机就为这些源主机建立了大量的连接队列，而且由于没有收到ACK一直维护着这些队列，造成了资源的大量消耗而不能向正常请求提供服务。
F5 的策略：
F5 采用特有的SYN proxy功能，所有与虚拟服务器建立HTTP SYN的请求均由F5代替服务器响应，F5并不将SYN请求发送到服务器。只有当用于响应了F5的ACK，并真正发送HTTP GET请求时，F5才与服务器建立链接并发送HTTP GET请求。所以普通的Synflood只会和F5通讯，无法攻击到服务器。而F5 能够轻松支持高达2,000,000个会话的吞吐能力，能够应付绝大多数攻击。而如果攻击数量超过F5的能力，F5 的Reaper功能将自动启动保护系统自身.
2．Ping of Death
根据TCP/IP的规范，一个包的长度最大为65536字节。尽管一个包的长度不能超过65536字节，但是一个包分成的多个片段的叠加却能做到。当一个主机收到了长度大于65536字节的包时，就是受到了Ping of Death攻击，该攻击会造成主机的宕机。
F5 的策略：
在F5上可以将虚拟服务器的ARP屏蔽，ICMP包系统根本不响应。其次，虚拟服务器的ICMP响应是由F5的管理进程提供响应，当管理进程繁忙时，系统会自动降低虚拟服务器的ICMP响应的优先级甚至不响应，而管理进程与服务器负载均衡是两个完全不同的进程，在F5上其内存和CPU使用时间是严格分离的，所以Ping of Death丝毫不会影响服务器负载均衡，也就是不会影响真正对外的服务响应端口。
3．IP欺骗DoS攻击
这种攻击利用RST位来实现。假设现在有一个合法用户(1.1.1.1)已经同服务器建立了正常的连接，攻击者构造攻击的TCP数据，伪装自己的IP为1.1.1.1，并向服务器发送一个带有RST位的TCP数据段。服务器接收到这样的数据后，认为从1.1.1.1发送的连接有错误，就会清空缓冲区中建立好的连接。这时，如果合法用户1.1.1.1再发送合法数据，服务器就已经没有这样的连接了，该用户就必须从新开始建立连接。 攻击时，伪造大量的IP地址，向目标发送RST数据，使服务器不对合法用户服务。
F5 的策略：
F5特有的SYN proxy功能，将TCP的SYN/ACK/SYN ACK三段握手作为判断合法用户的依据，同时所有的SYN/ACK/SYN ACK均不通服务器链接，只有当用户发送HTTP GET请求时再与选定的服务器建立链接，所以RST只是拆除与F5建立额链接，并不影响合法用户访问服务器。
4．带宽DoS攻击
如果黑客的连接带宽足够大而服务器又不是很大，黑客可以通过发送大量请求，来消耗服务器的缓冲区消耗服务器的带宽。这种攻击就是人多力量大了，配合上SYN一起实施DoS，威力巨大。
F5 的策略：
这种攻击发生时，从站点的路由器、交换机、防火墙到服务器的带宽均有可能被占满。所以如果发生该种攻击，首要的任务是通过EAV/ECV保护服务器不要溢出或崩溃。其次，采用F5的i-Control技术配合IDS、防火墙、交换机、服务器、路由器形成整个系统的联动来予以抵御攻击.
BIG-IP采用动态安全控制架构（DSCA）来实施、加强和加速应用和Web服务的安全交付。它是第一款能够自动对不断变化的安全威胁做出响应、采取措施并加强防范的安全解决方案，筑起了一道协调统一的安全防线，同时还提高了网络中其它安全产品的性能。在基于F5 开放式平台iContol之上，结合F5在业界诸多地合作伙伴，使用F5的API/SDK开发工具，就可以实现L4/L7交换机与入侵检测IDS的互动。由IDS实时检测攻击，当发现有黑客攻击行为时，IDS通过调用iControl的API/SDK动态调整F5上的iRules策略，使得系统能够屏蔽攻击数据的同时还能让合法用户访问服务器。
简述DDoS攻击的原理
被DDoS攻击时的现；被攻击主机上有大量等待的TCP连接；网络中充斥着大量的无用的数据包，源地址为假；制造高流量无用数据，造成网络拥塞，使受害主机无法正常和外界通讯。
利用受害主机提供的服务或传输协议上的缺陷，反复高速的发出特定的服务请求，使受害主机无法及时处理所有正常请求 ；严重时会造成系统死机。
扩展资料：
分布式拒绝服务攻击是一种恶意企图，通过大量互联网流量压倒目标或其周围的基础架构来破坏目标服务器，服务或网络的正常流量。DDoS攻击通过利用多个受损计算机系统作为攻击流量来源来实现有效性。
被利用的机器可以包括计算机和其他网络资源，例如物联网设备。从高层次来看，DDoS攻击就像堵塞高速公路的交通堵塞，阻止了常规交通到达其所需的目的地。
遭受到DDoS攻击如何追踪溯源？
技术操作上要实现很难，但是你可以找第三方安全公司。比如接入抗D保如果有人攻击你时，你就可以看到流量大小，以及溯源了。
服务器怎样做好防御ddos攻击？
可以通过做好隐藏和硬抗两个方面来防御DDoS攻击：
1、做好日常隐藏工作
对于企业来说，减少公开暴露是防御 DDoS 攻击的有效方式。比如说：网站做CDN加速，隐藏真实IP；限制特定IP访问等。
2、硬抗
在遭受DDoS攻击的时间，可以通过扩大出口带宽、购买景安DDOS防护产品。
扩展资料：
DDoS的表现形式主要有两种，一种为流量攻击，主要是针对网络带宽的攻击，即大量攻击包导致网络带宽被阻塞，合法网络包被虚假的攻击包淹没而无法到达主机；另一种为资源耗尽攻击，主要是针对服务器主机的攻击，即通过大量攻击包导致主机的内存被耗尽或CPU被内核及应用程序占完而造成无法提供网络服务。
参考资料：百度百科：DDoS
景安网络：服务器如何做好ddos防御？
0条大神的评论