DDOS防御选高防服务器还是高防CDN？

　　DDoS攻击攻击主要网络0x7D0的消费攻击特征攻击手段通过攻击一般都很难分开防御应该寻找的防护服务第三方 DDoS攻击，以帮助防御。目前，有两种类型的市场防护方案的，一种方式是基于防御 CDN DDoS攻击，它被称为高防 CDN防护方案，对方是一个伟大的和大清洗能力高的DDoS防节点行为的DDoS防御称为高防基于IP防护方案

　　高防CDN防护方案使用分布足够CDN节点和单节点 CDN必须具有一定的DDoS防护能力实现的DDOS防御(以下，称为高防CDN)。一般来说，高防CDN的CDN大于50厂商节点数量，单 CDN的DDoS节点防护能力 20-100Gbps之间。

　　网站加速能力最好：CDN节点省份线路分布压制通常是，业务流量调度通常可以由DNS智能，用户通过最佳CDN节点解析为访问业务网站，CDN节点可以网站业务静态资源是加速，用户和从而大大降低了访问时延会，比较很好的经验。

　　七防护能力最好的：锐速云作为国内领先的CDN加速功能节点和七个向前进行，所以单 CDN节点有一些处理能力，再加上大量的节点分布，所以对URL攻击时 DDoS攻击，流量是调度 DNS，分配给每个CDN节点，充分利用整个网的实现防护有效。没有防御 DDoS攻击针对性攻击：由于防护能力通常20-100Gbps之间的高防 CDN节点，如果攻击通过结合HOST指定节点是攻击，或者开始对每个节点 IP攻击一转，只要单流量攻击的防护能力 CDN节点会导致单 CDN节点所有业务服务中断，如果攻击 CDN节点这又给予了极大的流量攻击，将导致保持业务用户切换(切换约节点 2-之间时单倍5分钟)，甚至造成整个中断服务。

　　共享 IP不能特定攻击区分：CDN节点通常使用共享段 IP方式分配业务，IP地址可能会收取超过域名业务，因此，如果一个IP遭受的DDoS攻击，无法区分哪个攻击域名业务，高防 CDN一般厂商做法业务域名到回源有关IP的所有行为，如方式直接导致源站攻击流量牵引，或源站暴露攻击人，导致安全风险源站急剧增加。

　　支持隐藏源站：高防CDN对外暴露每共享地址段 IP的节点，达到业务源站通过CDN节点 IP，攻击他们无法通过业务用户源站真正的互动得到，发送为了保障安全源站。

所以综合来看还是选择高防cdn更加靠谱！

服务器、网站攻击的情况经常发生，有的来自竞争对手的攻击，有的则来自不明人员的攻击，不管是来自哪里的攻击，都会对自身产生很大影响，需要我们做出及时、有针对性的防御，避免引起业务损失。

网络攻击一般分为3类

第1类：ARP欺骗攻击 ARP（Address Resolution Protocol，地址解析协议）是一个位于TCP/IP协议栈中的网络层，负责将某个IP地址解析成对应的MAC地址。 ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的进行。 ARP攻击的局限性 ARP攻击仅能在以太网（局域网如：机房、内网、公司网络等）进行，无法对外网（互联网、非本区域内的局域网）进行攻击。

第2类：CC攻击 相对来说，这种攻击的危害大一些。主机空间都有一个参数 IIS 连接数，当被访问网站超出IIS 连接数时，网站就会出现Service Unavailable 。攻击者就是利用被控制的机器不断地向被攻击网站发送访问请求，迫使IIS 连接数超出限制，当CPU 资源或者带宽资源耗尽，那么网站也就被攻击垮了。对于达到百兆的攻击，防火墙就相当吃力，有时甚至造成防火墙的CPU资源耗尽造成防火墙死机。达到百兆以上，运营商一般都会在上层路由封这个被攻击的IP。 针对CC攻击，一般的租用有防CC攻击软件的空间、VPS或服务器就可以了，或者租用章鱼主机，这种机器对CC攻击防御效果更好。

第3类：DDOS流量攻击 就是DDOS攻击，这种攻击的危害是最大的。原理就是向目标服务器发送大量数据包，占用其带宽。对于流量攻击，单纯地加防火墙没用，必须要有足够的带宽和防火墙配合起来才能防御。

服务器被攻击的解决方法

查看网站的服务器。 当我们发现网站被攻击的时候不要过度惊慌失措，先查看一下网站服务器是不是被黑了，找出网站存在的黑链，然后做好网站的安全防御，具体操作分为三步： 1）、开启IP禁PING，可以防止被扫描。 2）、关闭不需要的端口。 3）、打开网站的防火墙。 这些是只能防简单的攻击

ARP欺骗

网上现在有很多防御ARP欺骗的防护软件（这里不一一列举）

服务器被攻击CC攻击防御策略

取消域名绑定。 一般cc攻击都是针对网站的域名进行攻击，比如我们的网站域名是"wwwstar-netcn"，那么攻击者就在攻击工具中设定攻击对象为该域名然后实施攻击。 对于这样的攻击我们的措施是在IIS上取消这个域名的绑定，让CC攻击失去目标。具体操作步骤是：打开"IIS管理器"定位到具体站点右键"属性"打开该站点的属性面板，点击IP地址右侧的"高级"按钮，选择该域名项进行编辑，将"主机头值"删除或者改为其它的值(域名)。 经过模拟测试，取消域名绑定后Web服务器的CPU马上恢复正常状态，通过IP进行访问连接一切正常。但是不足之处也很明显，取消或者更改域名对于别人的访问带来了不变，另外，对于针对IP的CC攻击它是无效的，就算更换域名攻击者发现之后，他也会对新域名实施攻击。

域名欺骗解析。 如果发现针对域名的CC攻击，我们可以把被攻击的域名解析到127001这个地址上。我们知道127001是本地回环IP是用来进行网络测试的，如果把被攻击的域名解析到这个IP上，就可以实现攻击者自己攻击自己的目的，这样他再多的肉鸡或者代理也会宕机，让其自作自受。 另外，当我们的Web服务器遭受CC攻击时把被攻击的域名解析到国家有权威的政府网站或者是网警的网站，让其网警来收拾他们。 现在一般的Web站点都是利用IDC服务商提供的动态域名解析服务，大家可以登录进去之后进行设置。

更改Web端口。 一般情况下Web服务器通过80端口对外提供服务，因此攻击者实施攻击就以默认的80端口进行攻击，所以，我们可以修改Web端口达到防CC攻击的目的。运行IIS管理器，定位到相应站点，打开站点"属性"面板，在"网站标识"下有个TCP端口默认为80，我们修改为其他的端口就可以了。

IIS屏蔽IP。 我们通过命令或在查看日志发现了CC攻击的源IP，就可以在IIS中设置屏蔽该IP对Web站点的访问，从而达到防范IIS攻击的目的。在相应站点的"属性"面板中，点击"目录安全性"选项卡，点击"IP地址和域名现在"下的"编辑"按钮打开设置对话框。在此窗口中我们可以设置"授权访问"也就是"白名单"，也可以设置"拒绝访问"即"黑名单"。比如我们可以将攻击者的IP添加到"拒绝访问"列表中，就屏蔽了该IP对于Web的访问。

服务器被攻击CC攻击防御手段

防止CC攻击，不一定非要用高防服务器。比如，用防CC攻击软件就可以有效的防止CC攻击。推荐一些CC的防范手段：

优化代码。 尽可能使用缓存来存储重复的查询内容，减少重复的数据查询资源开销。减少复杂框架的调用，减少不必要的数据请求和处理逻辑。程序执行中，及时释放资源，比如及时关闭mysql连接，及时关闭memcache连接等，减少空连接消耗。

限制手段。 对一些负载较高的程序增加前置条件判断，可行的判断方法如下： 必须具有网站签发的session信息才可以使用（可简单阻止程序发起的集中请求）；必须具有正确的referer（可有效防止嵌入式代码的攻击）；禁止一些客户端类型的请求（比如一些典型的不良蜘蛛特征）；同一session多少秒内只能执行一次。

完善日志。 尽可能完整保留访问日志。日志分析程序，能够尽快判断出异常访问，比如单一ip密集访问；比如特定url同比请求激增。

使用第三方防护服务。 笔者试了很多的CC防御，最终还是选择使用知道创宇抗D宝，就使用体验来说，算是我使用很靠谱的CC防御产品了，对伪造搜索爬虫攻击、伪造浏览器攻击、假人攻击等效果很好。

流量攻击（DDoS攻击）防御策略

选择带有DDOS硬件防火墙的机房。 目前大部分的硬防机房对100G以内的DDOS流量攻击都能做到有效防护。选择硬防主要是针对DDOS流量攻击这一块的，如果你的企业网站一直遭受流量攻击的困扰，那你可以考虑将你的网站服务器放到DDOS防御机房。但是有的企业网站流量攻击超出了硬防的防护范围了，那就得考虑下面第二种了。

CDN和DDOS流量清洗防御。 目前大部分的CDN节点都有200G 的流量防护功能，在加上硬防的防护，可以说能应付目前绝大多数的DDOS流量攻击了。同时，CDN技术不仅对企业网站流量攻击有防护功能，而且还能对企业网站进行加速(前提要针对CDN节点位置)。解决部分地区打开网站缓慢的问题。笔者使用的CDN是知道创宇加速乐，用来加速和隐藏源站IP，DDOS流量洗使用的抗D宝，用来专门防止DDOS攻击的，目前使用效果还不错；

负载均衡技术。 这一类主要针对DDOS攻击中的CC攻击进行防护，这种攻击手法使web服务器或其他类型的服务器由于大量的网络传输而过载，一般这些网络流量是针对某一个页面或一个链接而产生的。当然这种现象也会在访问量较大的网站上正常发生，但我们一定要把这些正常现象和分布式拒绝服务攻击区分开来。在企业网站加了负载均衡方案后，不仅有对网站起到CC攻击防护作用，也能将访问用户进行均衡分配到各个web服务器上，减少单个web服务器负担，加快网站访问速度。

网站防护可以采用高防CDN。

高防CDN有以下几个优势：

多节点，智能切换，一个高防节点被攻击死了多几齐上；

缓存文件，无法直接攻击源服务器，源站服务器受影响小；

流量都在高防CDN上去了，服务器带宽需求减少；

一般来说高防服务器比高防CDN的贵很多，因为CDN一台服务器可以放置很多客户，只要配置够好。其实，网站防护也是要看具体的情况。高防服务器和高防CDN各有特色和优势。如果你的站点访问量不大，而且针对稳定性要求不是很高的话采用高防服务器完全可以。但针对用户量大，而且要求速度高还是建议你采用高防CDN。

建议：优速CDN，他们价格2000元一个月。最高防护是100G，相信大多数攻击都已经可以轻松搞定。

CDN全称ContentDeliveryNetwork。即内容分发网络。其基本思路是尽可能避开互联网上有可能影响数据传输速度和稳定性的瓶颈和环节，使内容传输的更快、更稳定。

通过在网络各处放置节点服务器所构成的在现有的互联网基础之上的一层智能虚拟网络，CDN系统能够实时地根据网络流量和各节点的连接、负载状况以及到用户的距离和响应时间等综合信息将用户的请求重新导向离用户最近的服务节点上。