1. 准备与权限确认

1. 在开始前确认三项：
• 已在日本机房开通高防产品（确认清洗带宽、清洗阈值、Anycast/BGP 支持）；
• 获得服务器 root 或管理员权限和控制台 API 权限；
• 记录真实服务器 IP、清洗 IP（如提供）和备用管理通道（如控制台 VNC、KVM）。

2. 制定防护与清洗策略目标

2. 明确防护策略目标：
• 保护端口：优先 80/443、SSH（22）和应用自定义端口；
• 清洗触发条件：带宽（Mbps/Gbps）、包速率（PPS）或连接数（CPS）；
• 响应等级：告警、流量重定向到清洗、或立即丢弃。

3. 控制台清洗规则实操配置

3. 在高防提供商控制台配置：
• 配置清洗阈值：例如 HTTP 服务设为当入站流量 > 200Mbps 或 PPS > 200k 时触发；
• 选择保护对象：绑定到域名或源 IP，仅对 80/443 端口启用清洗；
• 设置黑/白名单：把核心业务 IP 放入白名单，频繁攻击源加入黑名单或自动黑名单策略。

4. 网络层（BGP/Anycast 与切换）

4. 如果提供 BGP/Anycast：
• 启用 Anycast 以分散攻击流量；
• 配置备用出口 IP：在检测到清洗时将流量切入清洗中心；
• DNS 策略：TTL 设低（如 60s），配合健康检查与 DNS 切换。

5. 操作系统与内核调优（sysctl）

5. 实际 sysctl 配置示例（放 /etc/sysctl.conf 并 sysctl -p）：
• net.ipv4.tcp_syncookies=1（启用 SYN cookies）；
• net.ipv4.tcp_max_syn_backlog=4096；net.core.somaxconn=1024；
• net.netfilter.nf_conntrack_max=262144（根据内存调整）；net.netfilter.nf_conntrack_tcp_timeout_established=3600。

6. 主机防火墙与 ipset 实战

6. 使用 iptables + ipset 批量高效处理：
• 安装 ipset 并创建白名单/黑名单：ipset create blacklist hash:ip; ipset add blacklist 1.2.3.4；
• iptables 规则示例：iptables -A INPUT -m set --match-set blacklist src -j DROP；
• 限速和连接限制：iptables -A INPUT -p tcp --dport 22 -m connlimit --connlimit-above 3 -j REJECT。

7. 应用层限流与 WAF 配置（nginx + mod_security）

7. nginx 限流与 WAF 实操：
• limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s; 在 server 中使用 limit_req zone=one burst=20 nodelay；
• 使用 mod_security 或第三方 WAF：导入 OWASP CRS，调整规则为阻断/记录模式并逐步切换到阻断；
• 配置验证页/验证码：当可疑流量触发阈值时返回挑战页面，阻止自动化攻击。

8. 黑白名单、GeoIP 与端口策略

8. 精细化访问控制：
• 用 ipset 批量导入长期黑名单并在控制台同步；
• GeoIP 阻断：只允许日本/目标市场 IP 访问管理端口，其他国家封禁或挑战；
• 端口硬化：非必要端口全部关闭，管理端口使用非标准端口和跳板机。

9. 日志、监控与告警（落地工具与阈值）

9. 建立监控与告警流程：
• 部署流量监控（如 ntop/iftop、sflow 或提供商流量图）；
• 设置告警：例如入站流量 80% 接近清洗阈值就通知；
• 日志采集：nginx/access.log、iptables 日志、清洗中心日志集中到 ELK/Prometheus，便于事后分析。

10. 联动清洗、演练与应急步骤

10. 演练清洗与应急流程：
• 演练：用 hping3 或流量生成器在预备环境触发阈值并验证控制台是否正确切换到清洗；
• 应急步骤清单：备份配置 -> 启用控制台清洗 -> 将非关键流量限速 -> 执行黑名单阻断 -> 持续观察并调整；
• 恢复：攻击结束后逐步降低限制，确保不出现误封。

11. 问：如何准确设置清洗触发阈值？

11. 答：先基线评估日常峰值并留安全余量，常用方法是取正常峰值的 2-3 倍作为清洗阈值（例如正常 50Mbps 峰值设为 150Mbps），并结合 PPS/连接数阈值，分端口设定优先保护 80/443；演练并逐步调小阈值以降低误触。

12. 问：哪些内核参数能显著缓解大规模连接型攻击？

12. 答：关键参数包括启用 TCP syncookies（net.ipv4.tcp_syncookies=1）、增加 syn backlog（net.ipv4.tcp_max_syn_backlog）、提高 conntrack 容量（nf_conntrack_max）、调高 somaxconn 及 net.core.netdev_max_backlog；调整后务必监控内存与连接追踪表占用。

13. 问：如何避免清洗或防火墙产生大量误判导致业务中断？

13. 答：采用分层防护（先记录再挑战再阻断），对核心业务 IP 白名单，逐步开启阻断规则并在短时间窗口内观察效果；对 WAF 先使用日志模式调优规则；保持低 TTL 的 DNS 与回退链路，演练恢复流程以快速回退误触规则。

来源：租用日本高防服务器后如何配置安全策略与流量清洗规则