기본적으로 DDoS 공격이 인터넷에있는 모든 파이프를 채우게되면 (이는 UDP 리플렉션 공격의 목적인 파이프를 채우는 것) 운이 좋지 않습니다. 업스트림 링크가 1Gbps의 트래픽을 차지할 수 있고 링크를 내려가는 데 총 2Gbps의 트래픽이있는 경우, 그 중 절반은 라우터 또는 스위치에 의해 패킷을 링크 아래로 내리는 링크에 의해 삭제됩니다. 공격자는 공격 트래픽의 절반이 손실되는 것을 신경 쓰지 않지만 고객은 다음을 수행합니다. TCP 연결에서 50 %의 패킷 손실 이 이러한 연결의 성능과 안정성에있어 끔찍하고 끔찍한 일을합니다.

체적 DDoS 공격을 막는 방법 은 두 가지 뿐입니다 .

1. 공격 트래픽이 채우지 않을만큼 충분히 큰 파이프를 확보하십시오.
2. 파이프로 내려 가기 전에 공격 패킷을 중지하십시오.
3. NTP 반영 공격을받지 않는 다른 IP 주소로 전환하십시오.

iptables에서 차단하면 쪼그리고 앉을 수 없습니다. 공격 트래픽이 이미 합법적 인 트래픽을 짜내서 바닥에 떨어 뜨려 공격자가 이겼 기 때문입니다. (아마도) 당신이 공격 트래픽을 전달하는 업스트림 라우터 나 스위치를 제어하지 않기 때문에, 그래, 당신은 당신의 업스트림 네트워크 제공 업체에 연락해야하고는 않습니다가 뭔가 네트워크에 도달 공격 트래픽을 중지를 링크 여부

• 공격 포트의 모든 트래픽 차단 (대부분의 ISP가 콜로 고객 액세스 라우터에서 기꺼이하지 않는 경우 $REASONS)

• 공격의 소스 IP 주소를 필터링합니다 (S / RTBH를 사용하는 것이 더 타당하지만 모든 제공 업체가 이미 사용할 수있는 것은 아님)

• 최악의 경우 대상 IP 주소를 블랙홀

IP를 블랙홀하는 것은 계속 작동 할 수있는 다른 IP 주소가있는 경우에만 작동합니다. 공급자가 유일한 IP 주소를 블랙홀로 만들면 인터넷을 사용하지 않기 때문에 공격자가 성공한 것입니다. 처음에.

답변