阿裡雲容器服務--配置自定義路由服務應對DDOS攻擊TCP洪水攻擊（SYN Flood）慢速連接配接攻擊限制每個使用者的并發連接配接數量限制每個使用者建立連接配接速度

ecs系統參數調整，應對tcp洪水攻擊，打開檔案/etc/sysctl.conf，配置如下參數

執行如下指令，使配置檔案生效

一個 http 請求通常包括頭部、url、methods 等，伺服器需要接收整個 http 請求後會做出響應。惡意使用者發送緩慢的 http 請求，比如一個位元組一個位元組的發送頭部，伺服器将一直處于 wating 狀态，進而耗費伺服器的資源。haproxy 通過配置 timeout http-request 參數，當一個使用者的請求時間超過設定值時，haproxy 斷開與該使用者的連接配接。示例compose模闆如下：

生成的haproxy配置檔案為：

通過 telnet 登入驗證結果

以網站為例，普通使用者通路網站，或者從網站下載下傳東西時，浏覽器一般會建立 5-7 個 tcp 連結。當一個惡意打開了大量 tcp 連結時，耗費伺服器大量資源，影響其它使用者的通路，是以我們需要根據實際情況，限制同一個使用者的連結數。示例compose模闆如下：

利用 apache 測試工具做驗證，和伺服器一直保持建立 10 個連結。

用 telnet 打開第 11 個連結，伺服器拒絕該連結。

僅僅限制單個使用者的并發連結數并意味着萬事大吉，如果使用者在短時間内向伺服器不斷的發送建立和關閉連結請求，也會耗費伺服器資源，影響伺服器端的性能，是以需要控制單個使用者的通路速率。

通常情況下，考慮到使用者通過浏覽器一般會建立 5-7 條 tcp 連結，我們可以認為普通使用者在 3 秒内不應該建立超過 10 條連結。示例compose模闆如下：

生成的配置為：

測試，采用 ab 打開 10 個連結。

再用 telnet 打開第 11 個連結，伺服器拒絕該請求。