Linux系统可通过配置优化和外部防护显著提升抗DDoS能力。1. 调整TCP参数如启用syncookies、限制单IP连接数；2. 关闭非必要端口，使用iptables/firewalld控制访问；3. Nginx配置限流与超时，防范CC和慢速攻击；4. 部署fail2ban自动封禁异常IP；5. 接入高防CDN隐藏源站IP，结合WAF过滤恶意流量。系统优化为基础，大规模攻击需依赖专业防护服务。
Linux 系统本身不能完全阻止 DDoS 攻击，但可以通过系统配置、服务优化和结合外部防护手段，显著提升抗攻击能力。核心思路是“减少暴露面、限制资源滥用、快速响应异常”。以下是具体策略。
系统内核与网络层优化
从操作系统底层增强网络栈的健壮性，能有效缓解部分流量型攻击。
- 调整 TCP 参数防范 SYN Flood：这类攻击通过大量伪造的连接请求耗尽服务器资源。启用 SYN Cookie 可在不保存半连接状态的情况下完成三次握手。 net.ipv4.tcp_syncookies = 1
-
限制单 IP 连接数：防止一个 IP 占用过多并发连接，影响其他用户。
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.ip_conntrack_max = 65536 - 关闭不必要的服务和端口：使用 iptables 或 firewalld 只开放必需端口，减少攻击入口。例如，只允许 80 和 443 端口对外。 iptables -A INPUT -p tcp --dport 80 -j ACCEPT
应用层限流与访问控制
针对 HTTP 层的 CC 攻击（如高频刷新登录页），需在 Web 服务器层面进行控制。
-
Nginx 配置速率限制：利用 limit_req_zone 模块，对每个 IP 的请求频率进行限制，特别适用于保护登录、支付等关键接口。
limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
location /login { limit_req zone=one burst=5; } -
设置连接超时：缩短空闲连接的保持时间，释放被慢速攻击（Slowloris）占用的连接池。
keepalive_timeout 30;
client_body_timeout 10; - 使用 fail2ban 监控日志：自动分析 Nginx、SSH 等服务日志，当发现某 IP 在短时间内产生大量失败请求时，自动将其加入防火墙黑名单。
架构与外部防护结合
单靠 Linux 主机无法抵御大规模 DDoS 攻击，必须借助外部专业服务。
- 接入高防 CDN：将网站域名解析到高防 CDN，由 CDN 节点代替源站接收流量。CDN 网络拥有 Tbps 级带宽和全球分布的清洗中心，能在攻击到达你的服务器前就完成过滤。
- 隐藏真实 IP：确保源站服务器的公网 IP 不被直接暴露。如果攻击者知道你的 IP，会绕过 CDN 直接攻击，使防护失效。避免在 DNS 记录中使用 A 记录指向源站，优先使用 CNAME。
- 部署 WAF（Web 应用防火墙）：WAF 能识别并拦截恶意 API 调用、SQL 注入等应用层攻击。高级 WAF 结合 AI 行为分析，可以区分正常用户和机器人，误杀率更低。
基本上就这些。系统配置是基础，能应对小规模骚扰；真正要无惧大规模攻击，还是得依靠高防 CDN 和专业的云防护服务。定期检查系统配置，结合自动化监控工具，才能做到快速发现、及时响应。
