我們知道，服務(wù)器對(duì)外提供服務(wù)，基本上都放置在公網(wǎng)上的。所以說(shuō)服務(wù)器放置在公網(wǎng)上會(huì)面臨許多攻擊，如果不做好必要的防護(hù)措施，服務(wù)器被攻擊只是時(shí)間上的問(wèn)題。
而面臨的眾多攻擊中，DDos攻擊是最常見(jiàn)的同時(shí)也是影響較大的攻擊。DDos是分布式拒絕服務(wù)攻擊，發(fā)起攻擊者會(huì)將許多臺(tái)電腦連在一起對(duì)同一臺(tái)服務(wù)器進(jìn)行請(qǐng)求。因?yàn)槊恳慌_(tái)服務(wù)器其實(shí)都是有資源，帶寬和計(jì)算瓶頸的，特別是一些帶寬小，內(nèi)存小，CPU計(jì)算能力低的服務(wù)器在面臨較多請(qǐng)求時(shí)，服務(wù)器負(fù)載瞬間上漲，帶寬被占滿，導(dǎo)致其他服務(wù)器無(wú)法處理其他合法用戶的正常請(qǐng)求。
從本質(zhì)上說(shuō)，DDos帶來(lái)的請(qǐng)求也是正常的請(qǐng)求，所以DDos防護(hù)較為困難。但是，如果我們把真實(shí)服務(wù)器的IP隱藏起來(lái)，那就可以很大程度減小DDOS攻擊的可能性。
有哪些手段可以隱藏真實(shí)服務(wù)器的IP呢，我覺(jué)得主要有以下幾種方案：
1.禁用服務(wù)器ICMP回顯響應(yīng)
互聯(lián)網(wǎng)上的服務(wù)器眾多，一般情況下我們?cè)诠W(wǎng)上的服務(wù)器要被人發(fā)現(xiàn)是要一段時(shí)間的，攻擊者會(huì)通過(guò)IP段來(lái)掃描存活的機(jī)器，一旦掃描到某個(gè)IP有回顯，說(shuō)明此IP是存活的，就會(huì)被攻擊者記錄下來(lái)，所以我們要關(guān)閉回顯功能，這樣別人掃描服務(wù)器沒(méi)有響應(yīng)，可以避免被人發(fā)現(xiàn)。
不管是Windows還是Linux都可以通過(guò)防火墻來(lái)關(guān)閉ICMP回顯功能
*Windows server的操作方法
控制面板》查看方式大圖標(biāo)》window防火墻》左側(cè) ‘高級(jí)設(shè)置 ’》入站規(guī)則》找到“文件和打印機(jī)共享（回顯請(qǐng)求ICMP-in）”和文件打印機(jī)共享（回顯請(qǐng)求-ICMPv6-in）雙擊選中“已啟用”和“阻止鏈接”
如下圖所示
*Linux系統(tǒng)則需要打出如下指令
2.也可以通過(guò)如下方法
實(shí)際上隱藏真實(shí)服務(wù)器地址也是阻擋不了ddos，ddos攻擊也是正常請(qǐng)求訪問(wèn)服務(wù)器，只是訪問(wèn)量比較大導(dǎo)致系統(tǒng)壓力暴增，嚴(yán)重導(dǎo)致宕機(jī)，實(shí)際生產(chǎn)環(huán)境項(xiàng)目部署都會(huì)使用nginx等反向代理服務(wù)器做負(fù)載均衡，也就是說(shuō)客戶訪問(wèn)的是負(fù)載均衡服務(wù)器的ip而不是真實(shí)的服務(wù)器ip，即nginx隱藏真實(shí)服務(wù)器ip。防御ddos的方法有很多種，常見(jiàn)的有ip限流，例如：監(jiān)控ip請(qǐng)求訪問(wèn)量，若訪問(wèn)暴增超過(guò)指定閾值，可限制該IP訪問(wèn)，拉入訪問(wèn)黑名單，并進(jìn)行相關(guān)提示，黑名單可按業(yè)務(wù)設(shè)定有效期解禁。限制措施還可以是驗(yàn)證碼。例如訪問(wèn)量比較大的接口可通過(guò)短信，圖形驗(yàn)證碼等形式格擋，可減少接口的并發(fā)訪問(wèn)量，最常見(jiàn)的例如12306的變態(tài)驗(yàn)證碼，可緩解登錄、提交訂單相關(guān)接口的訪問(wèn)壓力
3.增加服務(wù)器的帶寬，增強(qiáng)服務(wù)器的性能
'''當(dāng)然這些方法可能是不全面的，歡迎大家批評(píng)指正'''
