如何通过 iptables 阻止 FIN-WAIT-2？答案

【问题标题】：How to block FIN-WAIT-2 by iptables?如何通过 iptables 阻止 FIN-WAIT-2？
【发布时间】：2020-01-27 01:04:05
【问题描述】：

我的网站现在受到 ddos 攻击， "ss -ant" 显示来自一个 ip（和随机端口）的大量 FIN-WAIT-2（和一些 FIN-WAIT-1）连接，大约 500- 700 个连接：

FIN-WAIT-2 0      0         ::ffff:MY_IP:443                 ::ffff:ATTACKERS_IP:RANDOM_PORT   
.... 500-700 times

我正在尝试使用

iptables -A INPUT -s ATTACKERS_IP -j DROP

和

iptables -A INPUT -p tcp -m tcp --tcp-flags FIN,RST RST -m limit --limit 1/s -j ACCEPT

和

echo "2" > /proc/sys/net/ipv4/tcp_fin_timeout

但这无济于事 - 新连接正在通过另一个随机端口进入。

那么，如何通过 iptables（或其他东西）完全阻止特定 IP，以防止 FIN-WAIT-2 由 ip 导致冻结服务器？

【问题讨论】：

【解决方案1】：

这取决于，有很多方法可以解决这个问题。如果它是外语国家，您可以屏蔽整个国家（前提是您的网站不具有国际市场或利益）。或者您可以阻止整个 ip 块或者您可以使用 cloudflare 预先缓解问题或者你可以....

【讨论】：