如何避免服务器超过10g流量攻击，如何防止服务器被大流量攻击
创新互联为企业级客户提高一站式互联网+设计服务，主要包括成都网站建设、网站制作、手机APP定制开发、小程序开发、宣传片制作、LOGO设计等，帮助客户快速提升营销能力和企业形象，创新互联各部门都有经验丰富的经验，可以确保每一个作品的质量和创作周期，同时每年都有很多新员工加入，为我们带来大量新的创意。
1，如何防止服务器被大流量攻击
要具体的看是哪种攻击了如果是DDOS攻击，只能上硬防，或者套用CDN如果是CC攻击，可以对服务器进行优化，一般最简单有效的方法就是服务器上只上传纯静态网页如果是机房受到攻击，服务器被波及，可以考虑更换机房。如果是服务器受到攻击，那么就需要加硬防来应对，用高防服务器或加高防ip，高防cdn2，怎样防止vps 被大流量攻击
如果VPS所在的机房是属于普通没硬防的机房，根本没任何方法可以抵御攻击，要么你同时用多台，可以起到分流的效果，减少主机承受能力；如果有攻击，建议还是用国内高硬防机房的独立主机，才可以起到有效防御的，江苏南通市的电信机房，防御不错20G的硬防集，国内首家最高硬防，防御实力非常不错。这个一般机房都有硬件和软件防火墙的！！这个你不用担心！还可以选些大带宽的！像我们优时空的机房！10G电信8G网通8G移动这样他最少也要来个20G来攻击！防止网站被攻击！安装硬件和软件防火墙额！如果没有直接租赁别的服务器额！“美德高防”可以预防5G-48G大流量攻击！国内的吗？ 那建议你换国外的吧 百度搜索 继军iou3，如何防御DDOS流量攻击
第一步：方案特点：防御各种基于在线游戏的DDoS攻击，如游戏空连接、慢连接、游戏CC攻击、踢人外挂、针对游戏网关和游戏战斗服务器的攻击建议搭配：优质BGP云服务器+AnTi防御AnTI防御基于云漫网络自主研发的攻击防护服务产品，为客户提供DDoS、CC、WAF防护服务，可以防护SYN Flood、UDP Flood、ACK Flood、ICMP Flood、DNS Query Flood、NTP reply Flood、CC攻击、用户购买AnTI防御，把手游APP连接服务端的域名解析到AntTI防御cname域名上，同时在用户后台配置业务端口；所有公网流量都会走高防机房，通过端口协议转发的方式将用户的访问通过AnTi防御节点转发到源站IP，同时将恶意攻击流量在AnTi防御节点上进行清洗过滤后将正常流量返回给源站IP，从而确保源站IP稳定访问的防护服务。防护海量DDoS攻击成功防御全球最大DDoS攻击，攻击流量达到453.8G。有效抵御所有各类基于网络层、传输层及应用层的DDoS攻击。精准攻击防护针对交易类、加密类、七层应用、智能终端、在线业务攻击精准防护，使得威胁无处可逃。隐藏用户服务资源阿里云云盾服务可对用户站点进行更换并隐藏，云盾资源做为源站的前置，增加源站安全性，使攻击者无法找到受害者网络资源。弹性防护DDoS防护性能弹性调整，用户可在控制台自助升级，秒级生效，无需新增任何物理设备，业务上也无需进行任何调整，整个过程服务无中断。高可靠、高可用的服务全自动检测和攻击策略匹配，实时防护，清洗服务可用性99.99%。4，流量攻击的防御方式
大流量攻击，可以用软硬防相结合的方式；或者是CDN分流，以及DDOS流量清洗。但是最重要的还是平时在注意下运维，比如：不用的服务和端口都关闭，需要时再打开；平时要主要检测，有漏洞啥的及时修复等目前流行的黑洞技术和路由器过滤、限速等手段，不仅慢，消耗大，而且同时也阻断有效业务。如IDS入侵监测可以提供一些检测性能但不能缓解DDoS攻击，防火墙提供的保护也受到其技术弱点的限制。其它策略，例如大量部署服务器，冗余设备，保证足够的响应能力来提供攻击防护，代价过于高昂。1、 黑洞技术描述了一个服务提供商将指向某一目标企业的包尽量阻截在上游的过程，将改向的包引进“黑洞”并丢弃，以保全运营商的基础网络和其它的客户业务。但是合法数据包和恶意攻击业务一起被丢弃，所以黑洞技术不能算是一种好的解决方案。被攻击者失去了所有的业务服务，攻击者因而获得胜利。2、 路由器许多人运用路由器的过滤功能提供对DDoS攻击的防御，但对于复杂的DDoS攻击不能提供完善的防御。 路由器只能通过过滤非基本的不需要的协议来停止一些简单的DDoS攻击，例如ping攻击。这需要一个手动的反应措施，并且往往是在攻击致使服务失败之后。另外，DDoS攻击使用互联网必要的有效协议，很难有效的滤除。路由器也能防止无效的或私有的IP地址空间，但DDoS攻击可以很容易的伪造成有效IP地址。 基于路由器的DDoS预防策略——在出口侧使用uRPF来停止IP地址欺骗攻击——这同样不能有效防御现在的DDoS攻击，因为uRPF的基本原理是如果IP地址不属于应该来自的子网网络阻断出口业务。然而，DDoS攻击能很容易伪造来自同一子网的IP地址，致使这种解决法案无效。 本质上，对于种类繁多的使用有效协议的欺骗攻击，路由器ACLs是无效的。包括： ● SYN、SYN-ACK、FIN等洪流。 ● 服务代理。因为一个ACL不能辨别来自于同一源IP或代理的正当SYN和恶意SYN，所以会通过阻断受害者所有来自于某一源IP或代理的用户来尝试停止这一集中欺骗攻击。 ● DNS或BGP。当发起这类随机欺骗DNS服务器或BGP路由器攻击时，ACLs——类似于SYN洪流——无法验证哪些地址是合法的，哪些是欺骗的。 ACLs在防御应用层（客户端）攻击时也是无效的，无论欺骗与否，ACLs理论上能阻断客户端攻击——例如HTTP错误和HTTP半开连接攻击，假如攻击和单独的非欺骗源能被精确的监测——将要求用户对每一受害者配置数百甚至数千ACLs，这其实是无法实际实施的。防火墙首先防火墙的位置处于数据路径下游远端，不能为从提供商到企业边缘路由器的访问链路提供足够的保护，从而将那些易受攻击的组件留给了DDoS 攻击。此外，因为防火墙总是串联的而成为潜在性能瓶颈，因为可以通过消耗它们的会话处理能力来对它们自身进行DDoS攻击。 其次是反常事件检测缺乏的限制，防火墙首要任务是要控制私有网络的访问。一种实现的方法是通过追踪从内侧向外侧服务发起的会话，然后只接收“不干净”一侧期望源头发来的特定响应。然而，这对于一些开放给公众来接收请求的服务是不起作用的，比如Web、DNS和其它服务，因为黑客可以使用“被认可的”协议（如HTTP）。 第三种限制，虽然防火墙能检测反常行为，但几乎没有反欺骗能力——其结构仍然是攻击者达到其目的。当一个DDoS攻击被检测到，防火墙能停止与攻击相联系的某一特定数据流，但它们无法逐个包检测，将好的或合法业务从恶意业务中分出，使得它们在事实上对IP地址欺骗攻击无效。 IDS入侵监测 IDS解决方案将不得不提供领先的行为或基于反常事务的算法来检测现在的DDoS攻击。但是一些基于反常事务的性能要求有专家进行手动的调整，而且经常误报，并且不能识别特定的攻击流。同时IDS本身也很容易成为DDoS攻击的牺牲者。 作为DDoS防御平台的IDS最大的缺点是它只能检测到攻击，但对于缓和攻击的影响却毫无作为。IDS解决方案也许能托付给路由器和防火墙的过滤器，但正如前面叙述的，这对于缓解DDoS攻击效率很低，即便是用类似于静态过滤串联部署的IDS也做不到。 DDoS攻击的手动响应 作为DDoS防御一部份的手动处理太微小并且太缓慢。受害者对DDoS攻击的典型第一反应是询问最近的上游连接提供者——ISP、宿主提供商或骨干网承载商——尝试识别该消息来源。对于地址欺骗的情况，尝试识别消息来源是一个长期和冗长的过程，需要许多提供商合作和追踪的过程。即使来源可被识别，但阻断它也意味同时阻断所有业务——好的和坏的。3、 其他策略为了忍受DDoS攻击，可能考虑了这样的策略，例如过量供应，就是购买超量带宽或超量的网络设备来处理任何请求。这种方法成本效益比较低，尤其是因为它要求附加冗余接口和设备。不考虑最初的作用，攻击者仅仅通过增加攻击容量就可击败额外的硬件，互联网上上千万台的机器是他们取之不净的攻击容量资源。 有效抵御DDoS攻击 从事于DDoS攻击防御需要一种全新的方法，不仅能检测复杂性和欺骗性日益增加的攻击，而且要有效抵御攻击的影响。 完整的DDoS保护围绕四个关键主题建立：1． 要缓解攻击，而不只是检测2． 从恶意业务中精确辨认出好的业务，维持业务继续进行，而不只是检测攻击的存在3． 内含性能和体系结构能对上游进行配置，保护所有易受损点4． 维持可靠性和成本效益可升级性 1． 时实检测DDoS停止服务攻击攻击。2． 转移指向目标设备的数据业务到特定的DDoS攻击防护设备进行处理。3． 从好的数据包中分析和过滤出不好的数据包，阻止恶意业务影响性能，同时允许合法业务的处理。4． 转发正常业务来维持商务持续进行。网络平台这块很多都用CDN来分流，有一切用防火墙设置配套带宽处理设备安装
5，请问如何防止服务器被大流量攻击
我的是低手。每天看到起流量，看到流量不正常就关机。哈哈。参考一下吧由于ddos攻击往往采取合法的数据请求技术，再加上傀儡机器，造成ddos攻击成为目前最难防御的网络攻击之一。据美国最新的安全损失调查报告，ddos攻击所造成的经济损失已经跃居第一。传统的网络设备和周边安全技术，例如防火墙和idss(intrusion detection systems)， 速率限制，接入限制等均无法提供非常有效的针对ddos攻击的保护，需要一个新的体系结构和技术来抵御复杂的ddos拒绝服务攻击。 ddos攻击揭秘 ddos攻击主要是利用了internet协议和internet基本优点——无偏差地从任何的源头传送数据包到任意目的地。 ddos攻击分为两种：要么大数据，大流量来压垮网络设备和服务器，要么有意制造大量无法完成的不完全请求来快速耗尽服务器资源。有效防止ddos攻击的关键困难是无法将攻击包从合法包中区分出来：ids进行的典型“签名”模式匹配起不到有效的作用；许多攻击使用源ip地址欺骗来逃脱源识别，很难搜寻特定的攻击源头。 有两类最基本的ddos攻击： ● 带宽攻击：这种攻击消耗网络带宽或使用大量数据包淹没一个或多个路由器、服务器和防火墙；带宽攻击的普遍形式是大量表面看合法的tcp、udp或icmp数据包被传送到特定目的地；为了使检测更加困难，这种攻击也常常使用源地址欺骗，并不停地变化。 ● 应用攻击：利用tcp和http等协议定义的行为来不断占用计算资源以阻止它们处理正常事务和请求。http半开和http错误就是应用攻击的两个典型例子。 ddos威胁日益致命 ddos攻击的一个致命趋势是使用复杂的欺骗技术和基本协议，如http，email等协议，而不是采用可被阻断的非基本协议或高端口协议，非常难识别和防御，通常采用的包过滤或限制速率的措施只是通过停止服务来简单停止攻击任务，但同时合法用户的请求也被拒绝，造成业务的中断或服务质量的下降；ddos事件的突发性，往往在很短的时间内，大量的ddos攻击数据就可是网络资源和服务资源消耗殆尽。 现在的ddos防御手段不够完善 不管哪种ddos攻击，，当前的技术都不足以很好的抵御。现在流行的ddos防御手段——例如黑洞技术和路由器过滤，限速等手段，不仅慢，消耗大，而且同时也阻断有效业务。如ids入侵监测可以提供一些检测性能但不能缓解ddos攻击，防火墙提供的保护也受到其技术弱点的限制。其它策略，例如大量部署服务器，冗余设备，保证足够的响应能力来提供攻击防护，代价过于高昂。 黑洞技术 黑洞技术描述了一个服务提供商将指向某一目标企业的包尽量阻截在上游的过程，将改向的包引进“黑洞”并丢弃，以保全运营商的基础网络和其它的客户业务。但是合法数据包和恶意攻击业务一起被丢弃，所以黑洞技术不能算是一种好的解决方案。被攻击者失去了所有的业务服务，攻击者因而获得胜利。 路由器 许多人运用路由器的过滤功能提供对ddos攻击的防御，但对于现在复杂的ddos攻击不能提供完善的防御。 路由器只能通过过滤非基本的不需要的协议来停止一些简单的ddos攻击，例如ping攻击。这需要一个手动的反应措施，并且往往是在攻击致使服务失败之后。另外，现在的ddos攻击使用互联网必要的有效协议，很难有效的滤除。路由器也能防止无效的或私有的ip地址空间，但ddos攻击可以很容易的伪造成有效ip地址。 基于路由器的ddos预防策略——在出口侧使用urpf来停止ip地址欺骗攻击——这同样不能有效防御现在的ddos攻击，因为urpf的基本原理是如果ip地址不属于应该来自的子网网络阻断出口业务。然而，ddos攻击能很容易伪造来自同一子网的ip地址，致使这种解决法案无效。 本质上，对于种类繁多的使用有效协议的欺骗攻击，路由器acls是无效的。包括： ● syn、syn-ack、fin等洪流。 ● 服务代理。因为一个acl不能辨别来自于同一源ip或代理的正当syn和恶意syn，所以会通过阻断受害者所有来自于某一源ip或代理的用户来尝试停止这一集中欺骗攻击。 ● dns或bgp。当发起这类随机欺骗dns服务器或bgp路由器攻击时，acls——类似于syn洪流——无法验证哪些地址是合法的，哪些是欺骗的。 acls在防御应用层（客户端）攻击时也是无效的，无论欺骗与否，acls理论上能阻断客户端攻击——例如http错误和http半开连接攻击，假如攻击和单独的非欺骗源能被精确的监测——将要求用户对每一受害者配置数百甚至数千acls，这其实是无法实际实施的。 防火墙 首先防火墙的位置处于数据路径下游远端，不能为从提供商到企业边缘路由器的访问链路提供足够的保护，从而将那些易受攻击的组件留给了ddos 攻击。此外，因为防火墙总是串联的而成为潜在性能瓶颈，因为可以通过消耗它们的会话处理能力来对它们自身进行ddos攻击。 其次是反常事件检测缺乏的限制，防火墙首要任务是要控制私有网络的访问。一种实现的方法是通过追踪从内侧向外侧服务发起的会话，然后只接收“不干净”一侧期望源头发来的特定响应。然而，这对于一些开放给公众来接收请求的服务是不起作用的，比如web、dns和其它服务，因为黑客可以使用“被认可的”协议（如http）。 第三种限制，虽然防火墙能检测反常行为，但几乎没有反欺骗能力——其结构仍然是攻击者达到其目的。当一个ddos攻击被检测到，防火墙能停止与攻击相联系的某一特定数据流，但它们无法逐个包检测，将好的或合法业务从恶意业务中分出，使得它们在事实上对ip地址欺骗攻击无效。 ids入侵监测 ids解决方案将不得不提供领先的行为或基于反常事务的算法来检测现在的ddos攻击。但是一些基于反常事务的性能要求有专家进行手动的调整，而且经常误报，并且不能识别特定的攻击流。同时ids本身也很容易成为ddos攻击的牺牲者。 作为ddos防御平台的ids最大的缺点是它只能检测到攻击，但对于缓和攻击的影响却毫无作为。ids解决方案也许能托付给路由器和防火墙的过滤器，但正如前面叙述的，这对于缓解ddos攻击效率很低，即便是用类似于静态过滤串联部署的ids也做不到。 ddos攻击的手动响应 作为ddos防御一部份的手动处理太微小并且太缓慢。受害者对ddos攻击的典型第一反应是询问最近的上游连接提供者——isp、宿主提供商或骨干网承载商——尝试识别该消息来源。对于地址欺骗的情况，尝试识别消息来源是一个长期和冗长的过程，需要许多提供商合作和追踪的过程。即使来源可被识别，但阻断它也意味同时阻断所有业务——好的和坏的。 其他策略 为了忍受ddos攻击，可能考虑了这样的策略，例如过量供应，就是购买超量带宽或超量的网络设备来处理任何请求。这种方法成本效益比较低，尤其是因为它要求附加冗余接口和设备。不考虑最初的作用，攻击者仅仅通过增加攻击容量就可击败额外的硬件，互联网上上千万台的机器是他们取之不净的攻击容量资源。 有效抵御ddos攻击 从事于ddos攻击防御需要一种全新的方法，不仅能检测复杂性和欺骗性日益增加的攻击，而且要有效抵御攻击的影响。 完整的ddos保护围绕四个关键主题建立： 1． 要缓解攻击，而不只是检测 2． 从恶意业务中精确辨认出好的业务，维持业务继续进行，而不只是检测攻击的存在 3． 内含性能和体系结构能对上游进行配置，保护所有易受损点 4． 维持可靠性和成本效益可升级性 建立在这些构想上的ddos防御具有以下保护性质： ? 通过完整的检测和阻断机制立即响应ddos攻击，即使在攻击者的身份和轮廓不 断变化的情况下。 ? 与现有的静态路由过滤器或ids签名相比，能提供更完整的验证性能。 ? 提供基于行为的反常事件识别来检测含有恶意意图的有效包。 ? 识别和阻断个别的欺骗包，保护合法商务交易。 ? 提供能处理大量ddos攻击但不影响被保护资源的机制。 ? 攻击期间能按需求布署保护，不会引进故障点或增加串联策略的瓶颈点。 ? 内置智能只处理被感染的业务流，确保可靠性最大化和花销比例最小化。 ? 避免依赖网络设备或配置转换。 ? 所有通信使用标准协议，确保互操作性和可靠性最大化。 完整ddos保护解决技术体系 基于检测、转移、验证和转发的基础上实施一个完整ddos保护解决方案来提供完全保护，通过下列措施维持业务不间断进行： 1． 时实检测ddos停止服务攻击攻击。 2． 转移指向目标设备的数据业务到特定的ddos攻击防护设备进行处理。 3． 从好的数据包中分析和过滤出不好的数据包，阻止恶意业务影响性能，同时允许合法业务的处理。 4． 转发正常业务来维持商务持续进行。
分享文章：如何避免服务器超过10g流量攻击，如何防止服务器被大流量攻击
转载来于：
http://azwzsj.com/article/iscsjj.html
