在一次海外客户的大促前夕，我负责的电商平台突然遭遇了一场复杂的DDoS攻击，攻击形式并不单一，既有高并发的TCP Flood冲击前端服务，也混杂了慢速攻击（如Slowloris、Slow POST），试图拖垮后端处理能力。这场攻击持续了将近三小时，几乎所有常规Web防火墙和限速机制都被绕过。最终，靠着我们提前在新加坡部署的一组具备BGP高防能力的服务器，才有效稳住了服务。这次实战经验促使我系统地总结了一套防护策略，在此分享我在新加坡BGP高防环境中，应对“TCP Flood + 慢速攻击”混合型DDoS的完整技术实践。
一、选型基础：为何选择新加坡BGP高防服务器？
新加坡BGP高防服务器部署在中立网络环境中，具备以下几个关键优势：
- 多运营商BGP回程路由，确保不同地区访问时，流量路径最优、延迟最小。
- 独立防护带宽高达500Gbps，能够承受中大型流量冲击，特别适用于金融、电商和跨境应用。
- 智能流量清洗系统，支持协议识别与行为特征建模，具备识别慢速攻击的能力。
- 高性能硬件配置：通常搭载Intel Xeon Gold 6338 CPU、128GB ECC内存、2×1TB NVMe RAID-1 SSD，确保即使在攻击状态下，业务服务依然响应快速。
- 部署架构：裸金属服务器直挂BGP高防网段，无需额外中间代理或CDN转发，数据实时响应，无缓存干扰。
二、TCP Flood攻击应对策略
1. 网络层过滤（Layer 3/4）
我们启用硬件防护设备对如下特征进行即刻封堵：
- SYN Flood/SYN-ACK Flood/ACK Flood
- 无效TCP标志位组合
- 短时间内单IP连接数异常提升
- 策略配置（使用高防平台管理端设置）：
- 设置每个IP最大连接数上限（Conn Rate Limit）；
- 针对新建连接（SYN包）设置速率限制；
- 对长时间未完成握手的连接自动丢弃（SYN Cookies + TCP_TIMEOUT设置）。
2. 内核优化（Linux TCP Stack）
在服务器本机进行以下优化：
sysctl -w net.ipv4.tcp_syncookies=1
sysctl -w net.ipv4.tcp_max_syn_backlog=20480
sysctl -w net.core.somaxconn=65535
sysctl -w net.ipv4.tcp_rmem='4096 87380 16777216'
sysctl -w net.ipv4.tcp_wmem='4096 65536 16777216'
这些参数确保TCP堆栈在并发连接大量增长时仍能稳定响应。
三、慢速攻击（Slowloris、Slow POST）防护细节
1. 应用层代理优化（Nginx示例）
配置连接保持时间及数据发送速率阈值：
http {
client_body_timeout 10s;
client_header_timeout 10s;
keepalive_timeout 15s 10s;
send_timeout 10s;
limit_conn_zone $binary_remote_addr zone=perip:10m;
limit_conn perip 50;
}
2. WAF规则精细化
- 启用WAF防护规则库中针对慢速攻击的检测模块：
- 检测header/body接收速率是否低于阈值（低于30B/s即判定为恶意）
- 实施行为关联检测（短时间内多次异常低速连接发起）
- 拦截User-Agent字段异常或空值连接
3. HAProxy辅助检测层（可选）
在前端使用HAProxy作为第一道防护：
timeout client 10s
timeout server 30s
timeout connect 5s
option http-server-close
stick-table type ip size 100k expire 30s store conn_rate(3s)
上述配置用于快速识别慢速连接并拒绝超过频次的IP。
四、日志分析与自动封禁联动
我们利用自研的日志收集器 + Fail2ban配合系统防火墙动态拉黑恶意IP：
示例规则：
[nginx-slow-request]
enabled = true
port = http,https
filter = nginx-slow-req
logpath = /var/log/nginx/access.log
maxretry = 5
findtime = 60
bantime = 86400
同时配合ELK日志平台分析行为特征，生成攻击周期图表，辅助决策是否临时封禁特定地域或运营商段。
五、实战数据验证
- 攻击流量峰值：达到40Gbps，其中TCP Flood流量约占95%；
- 慢速连接最高并发：约4200个，占用服务器连接池达85%；
- BGP高防清洗效果：在流量调度入口即拦截超过98%的异常包；
- 业务可用率保持在98%以上，核心交易接口平均响应延迟从15s下降至0.4s。
这次攻防战让我深刻认识到，高防不仅是“带宽硬抗”，更是一次“配置博弈”。合理利用新加坡BGP高防服务器的回程优势与硬件基础，叠加内核调优、限速配置、WAF策略、代理超时控制等综合措施，才能有效应对现实中混合类型的复杂攻击。希望这套实践能为你在类似场景下的部署与优化，提供可落地的参考。
