求助，一个 SaaS 服务被来自福建的疑似僵尸网络 DDOS...Nginx 怎么挡？

[saytesnake]

有约百来个用户的 SaaS 服务，给到用户使用的时候都会分配一个二级域名，如

client-a.v3ex.com ， client-b.v3ex.com ， client-c.v3ex.com

这样，

今天 Nginx 流量都爆了，一看有来自福建不同地区的好几十个 IP 不断刷一个 uri，导致整个服务都拖慢了。

如 http://client-a.v3ex.com/dept/schedule.htm?date=2020-11-12&deptId=42756

Nginx 里面可能当时为了图方便，直接就配置了泛域名

server_name *.v3ex.com;

没区分出来。

目前暂时

if ($http_host = 'client-a.v3ex.com') { return 403; } 

抵挡了一下。

limit_req_zone 跟 limit_conn_zone 都无法使用在 if 里面，对于这种情况应该怎么处理好一点？

[dzdh]

为啥要区分 zone 不应该是全局针对 ip 限流吗

[dzdh]

而且为啥不上 cdn 哇

[saytesnake]

@dzdh 历史问题，这个系统是相对比较古老的，Nginx 也是，因为没经过测试，不知道开了全局限流会导致什么情况。

[lvzhiqiang]

sysctl -w net.ipv4.tcp_syncookies=1

[2kCS5c0b0ITXE5k2]

黑名单 ip

[lvzhiqiang]

ddos 只能缓解，不能解决。 还有 如果对方 IP 都是随机变化，基本没辙。(注意: 大公司大体量业务的会有专业的设备做浏览清洗和拦截防护)

[xx6412223]

试试 Iptables limits Connections by per IP

[lvzhiqiang]

@lvzhiqiang 针对 syn flood 攻击， 你先抓包看看，属不属于这类型的。

[winzkh]

shutdown -h now

[saytesnake]

@lvzhiqiang 已经配置了。

@emeab 目测是僵尸网络，ip 一大堆...好像每次都不同，随机查了十来个，都是福建省的。

@lvzhiqiang 呃，还真是没办法了看起来。

[GM]

加一条 A 记录 client-a.xxx.com 127.0.0.1
有 A 记录的情况下会优先起作用，这样也许会有用。

[privil]

前面加个 wtf 过滤 高流量 ip

[xieqiqiang00]

11 楼的方案可以
但要是我的话，我可能去 cloudflare 注册一下这个网站，然后单独这个子域名指向 cloudflare，然后开页面缓存，这样对方还是能一直 GET 通，就算是 POST 的话，两次过墙也够呛的，而且 cloudflare 本身就有反功能的能力。

[DoctorCat]

@xieqiqiang00 cloudflare 最大的问题是国内不友好容易被 gfw 认证。

[RangerWolf]

心疼楼主 3 秒钟。。。
想问下 client-a.v3ex.com 是一个合法用户的域名吗? 你设置 403 之后是不是这个客户就完全歇菜了？

[xuanbg]

受到攻击不管三七二十一有用没用先报警。

[saytesnake]

@xieqiqiang00 实际上是给自己加上墙了的感觉了...
@DoctorCat 是的。
@RangerWolf 那个只是举例，实际是正确合法的域名，一级域名是在阿里云上买的，403 之后就是这个客户完全无法使用了，现在临时解决了。

[DoctorCat]

@saytesnake 问一个细节，这些攻击 ip 访问到 nginx，都是 200 状态？

[RangerWolf]

@saytesnake 我感觉我没表达清楚，让你误解了。。。
其实我想问的就是，被攻击的域名是真实客户的域名吗？是某个客户的域名还是很多客户的域名？
另外， 感觉域名后面的这一段有没有权限逻辑校验？

不好意思问了这么多问题，因为我们也正好要开放一个 SaaS 服务给客户，就怕见光死。。。

[RangerWolf]

另外，我们目前隐藏了真实 IP 在类似 AWS LB 后面~ 不知道这个会不会有效？
不知道你们是直接 IP 暴露出去还是隐藏了真实 IP ？