如何保护您的 VPS 免受 DDoS 攻击：实用指南

# 安装 UFW
sudo apt update && sudo apt install ufw -y

# 允许 SSH（重要！在启用 UFW 之前执行此操作）
sudo ufw allow 22/tcp

# 允许 HTTP 和 HTTPS
sudo ufw allow 80/tcp
sudo ufw allow 443/tcp

# 启用 UFW
sudo ufw enable

# 检查状态
sudo ufw status verbose

# 高级保护规则：
# 限制 SSH 连接（暴力破解保护）
sudo ufw limit 22/tcp

# 阻止 ICMP ping 洪水
sudo nano /etc/ufw/before.rules
# 在 *filter 后添加：
-A ufw-before-input -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT
-A ufw-before-input -p icmp --icmp-type echo-request -j DROP

# 防止 SYN 洪水
sudo nano /etc/sysctl.conf
# 添加：
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 2048
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_syn_retries = 5

# 应用更改
sudo sysctl -p

# 安装
sudo apt install fail2ban -y
sudo systemctl enable fail2ban
sudo systemctl start fail2ban

# SSH 和 HTTP 保护配置
# 创建本地配置
sudo nano /etc/fail2ban/jail.local

# 添加：
[DEFAULT]
bantime = 3600
findtime = 600
maxretry = 5
banaction = ufw

[sshd]
enabled = true
port = 22
logpath = /var/log/auth.log

[nginx-http-auth]
enabled = true
filter = nginx-http-auth
port = http,https
logpath = /var/log/nginx/error.log

[nginx-limit-req]
enabled = true
filter = nginx-limit-req
port = http,https
logpath = /var/log/nginx/error.log

# 重启 Fail2Ban
sudo systemctl restart fail2ban

# 检查状态
sudo fail2ban-client status

sudo nano /etc/nginx/nginx.conf

# 添加到 http 块：
http {
    # 请求限制：每个 IP 每秒 10 个请求
    limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
    
    # 连接限制
    limit_conn_zone $binary_remote_addr zone=addr:10m;
    
    # Slowloris 保护
    client_body_timeout 10s;
    client_header_timeout 10s;
    keepalive_timeout 5s 5s;
    send_timeout 10s;
    
    # 其余配置...
}

# 在 server 块中添加：
server {
    location / {
        # 应用请求限制
        limit_req zone=one burst=20 nodelay;
        
        # 连接限制：每个 IP 最多 10 个
        limit_conn addr 10;
        
        # 您的配置...
    }
}

# 测试配置并重新加载
sudo nginx -t
sudo systemctl reload nginx

# 监控活动连接
watch -n 1 'ss -s'

# 查看按连接数排序的前几个 IP
netstat -ntu | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -n

# 实时查看日志
sudo tail -f /var/log/nginx/access.log
sudo journalctl -u nginx -f

# 检查 Fail2Ban 中阻止的 IP
sudo fail2ban-client status sshd