我们在香港的数据中心部署了一批新服务器，准备作为东南亚市场的边缘节点。上线的前两周一切风平浪静，直到某个凌晨，Nginx日志开始暴涨，CPU飙到90%以上。再一查，是一次规模不小的DDoS攻击混杂着SQL注入和目录扫描，目标直指我们的API和管理面板。

那次事故让我意识到：在海外尤其是香港这种网络中转重地，仅靠WAF是不够的，而是要构建一个分层的网络防御体系。今天我会结合我在香港服务器上的实际部署经验，讲讲iptables、WAF和黑洞路由三者如何协同防御攻击，做到层层过滤，滴水不漏。

一、整体思路：分层防御不是堆砌，而是链式协同

我们面临的主要威胁包括：

• DDoS洪泛（SYN、UDP、ICMP泛滥）
• 扫描器和脚本攻击
• 应用层渗透尝试（SQL注入、XSS、RCE）

基于此，我设计的防御体系遵循 “外挡流量、中控行为、内护应用” 的三层原则：

二、第一层：iptables 把守边界

1.1 核心目标

• 限制连接频率（抗暴力连接）
• 丢弃异常包（反SYN洪泛）
• 拦截恶意IP段（黑名单机制）

1.2 实战配置

先做SYN泛洪防护（防止服务器被连接撑爆）：

# 防止SYN洪泛攻击
iptables -N SYN_FLOOD
iptables -A INPUT -p tcp --syn -j SYN_FLOOD
iptables -A SYN_FLOOD -m limit --limit 1/s --limit-burst 3 -j RETURN
iptables -A SYN_FLOOD -j DROP

再配置 IP 白名单机制（只允许中国大陆管理后台访问）：

# 添加国内IP白名单
iptables -A INPUT -p tcp --dport 22 -s 1.2.3.4 -j ACCEPT
iptables -A INPUT -p tcp --dport 22 -j DROP

使用 ipset 管理大规模黑名单：

ipset create blacklist hash:ip timeout 86400
iptables -I INPUT -m set --match-set blacklist src -j DROP

黑名单可以通过脚本定期更新：

ipset add blacklist 8.8.8.8

三、第二层：ModSecurity WAF 守护应用

2.1 选择理由

香港地区WAF供应商昂贵，且对复杂场景支持不佳。最终我选择开源的 [ModSecurity + OWASP CRS 规则集] 结合Nginx反向代理，实现轻量级部署。

2.2 部署步骤

安装ModSecurity：

apt install libnginx-mod-security

启用模块并配置：

在Nginx配置中加入：

modsecurity on;
modsecurity_rules_file /etc/nginx/modsec/main.conf;

加载OWASP CRS规则：

git clone https://github.com/coreruleset/coreruleset /etc/nginx/modsec/crs

启用规则并测试：

curl 'http://your.hk.server/?id=1%20or%201=1' -v
# 应返回403 Forbidden

四、第三层：黑洞路由实现“动态封杀”

4.1 背景

DDoS往往源自不固定IP段，无法静态黑名单拦截。通过“黑洞路由”，我可以在检测到某个IP产生过量连接时，立即将它扔进无底洞。

4.2 配置方法

添加黑洞路由命令：

ip route add blackhole 203.0.113.45

结合fail2ban自动执行：

编辑 /etc/fail2ban/action.d/blackhole.conf：

[Definition]
actionstart =
actionstop =
actionban = ip route add blackhole <ip>
actionunban = ip route del blackhole <ip>

应用在Nginx日志分析后的过滤器上，例如：

[nginx-badbots]
enabled = true
port = http,https
filter = nginx-badbots
logpath = /var/log/nginx/access.log
action = blackhole[name=badbots]
maxretry = 10
findtime = 600
bantime = 86400

五、层间协同：组合策略示例

一个典型的攻击流程如下：

• 攻击者发起SYN洪泛，iptables限速并丢弃部分连接；
• 残余请求穿过iptables后被WAF识别SQL注入并记录日志；
• fail2ban监控WAF日志，发现攻击IP超过10次入侵尝试；
• 自动执行 ip route add blackhole IP，彻底断绝通信。
• 这样实现了从初步识别 → 精准分析 → 彻底封禁 的全链路拦截。

六、性能监控与持续优化

部署完毕后，还要持续监控系统状态：

• 使用 iftop/nload 监控网络流量突变
• 用 netstat -an | grep :80 | wc -l 查看并发连接数
• 日志可接入 ELK 或 Loki 做图形化告警
• 每月更新一次 ipset 黑名单，清理废弃规则。

七、安全防线永远不是一劳永逸

这套体系在我过去半年对抗多个扫描器和Botnet攻击中效果显著。但我也深知，这只是防御的一环。香港地理位置和网络开放性让它成为“黑白流量交叉口”，我们能做的，是尽量在第一时间识别异常，并层层设限，阻断攻击链条。

希望我的实践能帮到正在构建海外节点安全防护的你。

如果你有更优的策略或防护方法，也欢迎和我交流。安全这条路，我们一起走得更远。