存档

文章标签 ‘安全’

Linux系统的hosts.allow和hosts.deny

2008年8月7日 李悦 没有评论

　　奥运了，各单位对信息安全特别重视，要求加强服务器安全，所有服务器统一修改密码，关闭WEB服务器除了80端口的所有端口，关闭远程控制SSH。统一使用单位的VPN服务来管理。关闭外部的所有链接，除了VPN服务器的，这样，就必须通过VPN来远程控制服务器，VPN只有管理员才有账户登录权限。
　　限制访问主机的服务。可以限制，只能是指定的IP才能访问本机的某个服务。
　　编辑/etc/hosts.allow
　　加入下面的一行，允许10.0.0.1通过ssh服务链接服务器：
　　sshd:10.0.0.1

　　编辑/etc/hosts.deny，加入：
　　ALL: ALL@ALL, PARANOID
　　拒绝其他所有的服务请求。

　　通过上述设置后，先通过登录VPN系统认证后，再使用SSH登录服务器就可以了。

分类: 系统 标签:

优化WEB服务器防止攻击

2008年8月7日 李悦 没有评论

　前些天学校网站变得很慢，进行了一些调整来缓解。先把上面的动态程序移走，只保留纯html静态网页。只运行apache，问题没有解决。netstat查看有不少SYN_RECV、TIME_WAIT、FIN_WAIT_1等状态存在的链接。查看资料，可能是SYN Flood攻击.　　作如下配置来缓解：
1、增加未完成连接队列（q0)的最大长度。
echo 2048>/proc/sys/net/ipv4/tcp_max_syn_backlog
2、启动SYN_cookie。
echo 1>/proc/sys/net/ipv4/tcp_syncookies
这些是被动的方法，治标不治本。
把上述命令加入启动脚本
/etc/rc.d/boot.local（SUSE LINUX）/etc/rc.local(redhat linux)
3、iptables的设置，引用自CU

防止同步包洪水（Sync Flood）
# iptables -A FORWARD -p tcp –syn -m limit –limit 1/s -j ACCEPT
也有人写作
#iptables -A INPUT -p tcp –syn -m limit –limit 1/s -j ACCEPT
–limit 1/s 限制syn并发数每秒1次，可以根据自己的需要修改
防止各种端口扫描
# iptables -A FORWARD -p tcp –tcp-flags SYN,ACK,FIN,RST RST -m limit –limit 1/s -j ACCEPT
Ping洪水攻击（Ping of Death）
# iptables -A FORWARD -p icmp –icmp-type echo-request -m limit –limit 1/s -j ACCEPT

通过上面在防火墙和TCP/IP协议栈配置后，响应缓慢仍然没有得到有效的解决。查看了一篇关于当前主要有三种流行的DDOS攻击： 阅读全文…

分类: 系统 标签: