ddos硬件防火墻 防ddos的防火墻推薦
什么是DDOS？
本文開始之前，小編把小編的經驗告訴大家
如果是公司或者托管到其他機房的網站，不需要自己假設。，只需要租用或者托管有防火墻的機房即可，如果沒有怎么辦？
那么就利用市場上領先的CDN吧，用了CDN，幾十個IP，不可能各個打死吧，在說一般CDN商都會把節(jié)點放在抗攻擊的機房里面。
這個是目前最省錢的方式。
而且市場上有免費的CDN防火墻。
1：上海云盾。
2：百度云加速。
3:360網站安全衛(wèi)士
DDOS全名是Distributed Denial of service (分布式拒絕服務攻擊),很多DOS攻擊源一起攻擊某臺服務器就組成了DDOS攻擊,DDOS 最早可追溯到1996年最初,在中國2002年開始頻繁出現(xiàn),2003年已經初具規(guī)模。
分布式拒絕服務(DDoS:Distributed Denial of Service)攻擊指借助于客戶/服務器技術，將多個計算機聯(lián)合起來作為攻擊平臺，對一個或多個目標發(fā)動DoS攻擊，從而成倍地提高拒絕服務攻擊的威力。通常，攻擊者使用一個偷竊帳號將DDoS主控程序安裝在一個計算機上，在一個設定的時間主控程序將與大量代理程序通訊，代理程序已經被安裝在Internet上的許多計算機上。代理程序收到指令時就發(fā)動攻擊。利用客戶/服務器技術，主控程序能在幾秒鐘內激活成百上千次代理程序的運行。[1]
DDoS攻擊通過大量合法的請求占用大量網絡資源，以達到服務器癱瘓網絡的目的，通過使網絡過載來干擾甚至阻斷正常的網絡通訊；令瓦還可以向服務器提交大量請求，使服務器超負荷；或阻斷某一用戶訪問服務器；甚至阻斷某服務與特定系統(tǒng)或個人的通訊，達到破壞的作用。
通俗的說，DDoS攻擊就指向一臺性能與網絡寬帶有限的服務器短期發(fā)動大量的訪問請求，直到服務器或者寬帶承受極限，從而導致后期服務器無法正常運行的目的。
硬件防火墻品牌排名：
Juniper
華為賽門鐵克
思科
H3C
天融信
山石網科
飛塔
聯(lián)想網御
NETGEAR
啟明星辰
熱門防火墻排名：
Juniper SSG-140-SH
華為賽門鐵克USG2210
CISCO ASA5510-K8
H3C SecPath U200-CS-AC
天融信NGFW4000-UF(TG-5130)
Hillstone SG-6000-M2105
FORTINET FortiGate-110C
NETGEAR FVS318
聯(lián)想網御Power V-220UTM
啟明星辰USG-FW-810C
Dosnipe防火墻：
Dosnipe防火墻硬件架構部分主體采取工業(yè)計算機(工控機)，可以承受惡劣的運行環(huán)境，保障設備穩(wěn)定運行;軟件平臺是FreeBSD，核心部分算法是自主研發(fā)的單向一次性非法數(shù)據(jù)包識別方法，所有的Filter機制都是在掛在驅動級?？梢詮氐捉鉀Q所有dos/DDoS攻擊(synflood、ackflood、udpflood、icmpflood、igmpflood、arpflood、全連接等)，針對CC攻擊，已推出DosNipe V8.0版本，此核心極其高效安全，在以往抵御一切拒絕服務攻擊的基礎上，新增加了抵擋CC攻擊，新算法可以高效的抵御所有CC攻擊及其變種，識別準確率為100%，沒有任何誤判的可能性。
Dosnipe防火墻去年升級之后，具備更多的新特性：
·徹底解決最新的M2攻擊。
·支持多線路，多路由接入功能。
·支持流量控制功能。
·更強大的過濾功能。
·最新升級，徹底高效的解決所有DDoS攻擊，cc攻擊的識別率為100%
黑洞抗DDOS防火墻
黑洞抗DDOS防火墻是國內IDC中應用比較廣泛的一款抗DoS、DDoS攻擊產品，其技術比較成熟，而且防護效果顯著，已經得到各大IDC機構的共同認可。黑洞目前分百兆、千兆兩款產品，分別可以在相應網絡環(huán)境下實現(xiàn)對高強度攻擊的有效防護，性能遠遠超過同類防護產品。千兆黑洞主要用于保護骨干線路上的網絡設備如防火墻、路由器，百兆黑洞主要用于保護子網和服務器，使用多種算法識別攻擊和正常流量，能在高攻擊流量環(huán)境下保證95%以上的連接保持率和95%以上的新連接發(fā)起成功率，核心算法由匯編實現(xiàn)，針對Intel IA32體系結構進行了指令集優(yōu)化。對標準TCP狀態(tài)進行了精簡和優(yōu)化，效率遠高于目前流行的SYN Cookie和Random Drop等算法。
黑洞所帶來的防護：
·自身安全:無IP地址，網絡隱身。
·能夠對SYN Flood、UDP Flood、ICMP Flood和(M)Stream Flood等各類DoS攻擊進行防護。
·可以有效防止連接耗盡，主動清除服務器上的殘余連接，提高網絡服務的品質、抑制網絡蠕蟲擴散。
·可以防護DNS Query Flood，保護DNS服務器正常運行。
·可以給各種端口掃描軟件反饋迷惑性信息，因此也可以對其它類型的攻擊起到防護作用。
金盾抗DDOS防火墻
金盾抗DDOS防火墻由合肥中新軟件有限公司開發(fā)，是一款針對ISP接入商、IDC服務商開發(fā)的專業(yè)性比較強的專業(yè)防火墻。適用于Internet平臺所有企業(yè)與個人用戶，尤其對一些大型的娛樂站點和重要企業(yè)站點的網絡流暢起到了重要的安全保護作用。
產品目前采用了最底層驅動技術，提供完善的面向連接操作。公司在長期ISP運營和致力于網絡安全的研究過程中，研究和發(fā)明了一種防御和抵抗拒絕服務攻擊的解決辦法。測試的效果表明，目前的防御算法對所有已知的拒絕服務攻擊是免疫的，也就是說，是完全可以抵抗已知DoS/DDoS攻擊的。
金盾抗DDOS防火墻可以抵御多種拒絕服務攻擊及其變種，可防各類 DoS/DDoS攻擊，如 SYN Flood、TCP Flood，UDP Flood，ICMP Flood及其各種變種如Land，Teardrop，Smurf，Ping of Death等。
據(jù)說全國有近半的電信和網通機房都有其產品，金盾防火墻是專門針對DDoS攻擊和黑客入侵而設計的專業(yè)級防火墻，該設備采用自主研發(fā)的新一代抗拒絕攻擊算法，可達到10萬-100萬個并發(fā)攻擊的防御能力，同時對正常用戶的連接和使用沒有影響。專用得體系結構可改變TCP/IP的內核，在系統(tǒng)核心實現(xiàn)防御拒絕攻擊的算法，并創(chuàng)造性的將算法實現(xiàn)在網絡驅動層，效率沒有受到限制。同時可防御多種拒絕服務攻擊及其變種，如：SYN Flood。TCP Flood、UDP Flood、ICMP Flood及其變種Land、Teardrop、Smurf、Ping of Death等等。
分析：
當然也有一些技術人員提出觀點，認為從原則上說，上面類似產品不能說是防火墻，應該說一種異常流量清洗系統(tǒng);現(xiàn)在的DDOS防御技術在防火墻也有，但防火墻的能力有限，不能很深入的針對每一個閥值參數(shù)進行分析和執(zhí)行，而只有一個執(zhí)行，而且執(zhí)行的度量是定死了;沒有一個學習后再細化，這就是防火墻的弱點，但這種產品一般是在高帶寬流量的環(huán)境應用，說白一點，是放到運營商上面應用，所以產品的性能要求十分嚴苛，要經得起考驗，這不是鬧著玩;因為這套東西，運營商拿去也是給增值服務客戶應用的，要收錢的，如果不能抵御一定流量的攻擊客戶肯定會翻臉。
那么，大家最關心的問題：這些硬件防火墻到底能不能防DDOS呢?
這些硬件防火墻到底能不能防DDOS：
大體上說是可以的，根據(jù)我們的了解，國內大部分機房都是表示金盾效果還過得去，黑洞效果則更好一些，而Dosnipe由于合作的機房相對要少一些，所以收到的反饋意見不多，不過西南地區(qū)的一個電信機房代理商告訴我機房加裝Dosnipe防火墻之后確實杜絕了不少普通流量的攻擊。
但是，如果DDoS攻擊者加大攻擊的流量，大量消耗機房的出口總帶寬時，任何一款防火墻都相當于擺設，因為不管防火墻處理能力有多強，出去的帶寬已經被耗盡了，整個機房在外面看來就都是處于掉線狀態(tài)，就像一個大門已經擠滿了人，不管你在門里安排多少個警衛(wèi)檢查都沒用，外面的人還是進不來，而現(xiàn)在的攻擊者的行為大部分是出于商業(yè)目的，動輒G級別的攻擊，一些機房本來帶寬就不是很足夠，一遭到大流量的攻擊肯定是整個機房大面積掉線，防火墻雖然檢測到攻擊，也只能是過濾掉那些非法數(shù)據(jù)包，保護內部的網絡設備和服務器不受重創(chuàng)，但掉線是機房總帶寬不足所導致，用再好的防火墻都無濟于事。
因此，即使很多機房都號稱采用多好的硬件防火墻，可以防御多大流量的攻擊，但如果你的服務器真的遭到大流量攻擊，機房還是不敢放你進去，因為會影響到其他服務器的正常訪問，而且托管一臺服務器收取的費用本來就不多，為了做成這么一筆小生意而招惹大麻煩，運營商肯定覺得不劃算，最可憐的還是那些機房的網管人員，得手忙腳亂的封IP。
在果殼網任職期間經歷過多次DDoS攻擊。那種絕望的心情，還歷歷在目。問題不是你能做什么，而是機房決定了其實你什么都做不了。
攻擊者是控制一個足夠大的分布式集群來發(fā)起攻擊，各種雜七雜八的包，什么都會有。根本不在乎你開的什么服務，也沒那耐心分析你有什么服務。比如哪怕你根本沒開UDP的任何服務，但他就是發(fā)一大堆UDP的包，把你帶寬占滿。還有啥辦法。
十多年前的OS還沒法應付大量TCP并發(fā)連接，于是那個年代有個SYN flood攻擊，就是一大堆SYN包嘗試握手?，F(xiàn)代也有，效果大不如前，但是仍然在大流量下可以阻塞受害者的通信能力。
更現(xiàn)實的問題在于，機房的總帶寬有限。當你的服務器IP段受到攻擊時，他會直接找上級接入商將發(fā)給你的包在主干網上都丟掉。此時雖然知道自己正在被DDoS攻擊，但攻擊包根本就沒到機房，更別說服務器，于是只能是守著服務器，毫無流量，等待。
上級接入商大多是壟斷國企，根本沒耐心跟你做任何深層次合作，直接丟包是最簡單方便的方法。同時，即便此時攻擊者停止了攻擊，你也不知道。而想要上級接入商重新開啟給你的包轉發(fā)，動則就是個一天的流程。而一旦發(fā)現(xiàn)攻擊還沒完，就立刻又是丟包。
那幾年被攻擊時，也火燒火燎的找辦法。嘗試將網站部署到云計算平臺上，依靠對方提供的帶寬冗余來頂。甚至可能只是拼短期帶寬的費用。當時國內的云計算提供商試了好幾家，最終都因為沒有足夠的帶寬應對攻擊而拒絕了我們。他們都是出于對果殼網的喜愛和免費幫忙的，能做到這一步也挺不容易了。
有人提到攻擊弱點，我感覺真正這樣花費精力去分析的攻擊者其實不多見。不過大多攻擊確實會避開一些明顯抗攻擊能力不錯的點，比如很多網站的首頁會做靜態(tài)化，所以攻擊首頁就不劃算。圖片同理，對CPU消耗太小了。
幾個常見的弱點：
1、登錄認證
2、評論
3、用戶動態(tài)
4、ajax api
總之涉嫌寫數(shù)據(jù)庫，聯(lián)表查詢，緩存澗出的都是好目標。
所以，回答就是：沒有啥好辦法，耐心等待吧。
看了其他幾個回答提供的方案，分別分析一下：
1、拼帶寬：或者說拼軟妹幣，這不是一點點錢能搞定的，果殼網彼時只買了不足100M帶寬，所在早期機房總帶寬也不足40G，攻擊帶寬都沒見過低于10G的(機房的人后來告訴我的)。假設某便宜機房(肯定不在北上廣深)，帶寬價格為100元/M*月，每月按峰值計費。則要買10G帶寬頂一下，需要的月費是100萬，100萬……
2、流量清洗&封IP：如前述，要這么做的前提是攻擊包至少要到你的機房。而機房自保的措施導致了數(shù)據(jù)包根本到不了機房，無解
3、CDN服務：現(xiàn)代CDN提供商還沒有完善的動態(tài)網頁加速技術，所以結果就是，你充其量利用CDN保住靜態(tài)化的主頁可以訪問，其他任何動態(tài)網站功能就只能呵呵了。
方法如下，自行選擇:
1 砸?guī)?，超過D的就好了；
2 封ip，寧可錯殺一千，不放過一個；
3 搞定實施D你的組織（一般不是競爭對手），讓他停止D；
4 把服務器搞到讓組織D你的人的（比如競爭對手）同一個機房。
上面方法，4的最奏效 @:@
---更新----
時間可以撕破任何裝X，遇到CC之類的攻擊，基本無解。
0 Comments.