配置美国服务器的防御，核心在于构建“网络层清洗 + 主机层加固 + 应用层过滤”的多层防御体系。建议优先选择提供高防（Anti-DDDos）的数据中心，并配合服务器端的安全策略。
以下是详细的配置方案：
1. 网络层防御（基础与抗DDoS）
这是对抗大规模流量攻击的第一道防线。
- 选择高防数据中心：
- 如果业务常受DDoS攻击，直接租用美国高防服务器（如接入100Gbps以上防护带宽的机房）。
- 对于大流量攻击，依靠单台服务器硬扛是无效的，必须依靠机房端的流量清洗设备。
- 配置防火墙规则（iptables / Firewalld）：
- 屏蔽异常IP：封禁频繁扫描或发起攻击的IP段。
- 限制连接数：防止单个IP建立过多连接耗尽资源。
- 示例（iptables限制SSH连接）：
# 限制SSH端口(22)每分钟新连接不超过5个
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --set
iptables -A INPUT -p tcp --dport 22 -m state --state NEW -m recent --update --seconds 60 --hitcount 5 -j DROP
- 使用Cloudflare等CDN：
- 隐藏真实服务器IP（源站保护）。
- 利用Cloudflare的免费或付费防护，过滤掉Bot和简单攻击。
2. 系统层加固（安全基线）
无论是否使用高防，系统本身必须关闭不必要的入口。
- SSH安全配置：
- 禁止Root直接登录：在
/etc/ssh/sshd_config 中设置 PermitRootLogin no。 - 修改默认端口：将22端口改为高位端口（如 23456）。
- 使用密钥登录：禁用密码登录 (
PasswordAuthentication no)。 - 更新与补丁：
- 保持系统最新：
yum update -y (CentOS) 或 apt update && apt upgrade -y (Ubuntu)。 - 最小化服务：
- 关闭不必要的端口和服务（如FTP、Telnet、不用的数据库端口）。
3. 应用层防御（WAF与CC防护）
针对Web服务器（Nginx/Apache）的攻击（如SQL注入、CC攻击）。
- 安装WAF（Web应用防火墙）：
- 免费方案：使用 Naxsi (Nginx) 或 ModSecurity (Apache)。
- 配置规则：开启OWASP核心规则集（CRS）防御常见Web攻击。
- Nginx防CC策略：
- 利用
limit_req 模块限制请求频率。 - 示例配置：
http {
# 定义限流区域，每秒处理10个请求
limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
server {
location / {
# 突发请求最多允许5个
limit_req zone=one burst=5 nodelay;
}
}
}
- 数据库连接安全：
- 禁止数据库（如MySQL 3306）对公网开放，只允许本地或内网IP访问。
4. 监控与响应
- 安装监控工具：如 Zabbix 或 Netdata，监控CPU、内存、带宽异常。
- 日志分析：定期检查
/var/log/secure (登录日志) 和 Nginx/Apache 访问日志，分析异常流量。
5. 方案对比与选择
| 防御方案 | 适用场景 | 优点 | 缺点 |
|---|
| 高防服务器 | 游戏、金融、易受大流量攻击业务 | 抗攻击能力强，不需要自己配置复杂网络 | 价格较贵，且通常带宽受限 |
| CDN + 源站 | 网站、APP接口 | 隐藏IP，加速访问，价格相对便宜 | 对UDP攻击无效，需配合源站防火墙 |
| 软防 (脚本/iptables) | 低配服务器，轻量级防护 | 免费，灵活 | 面对大流量洪水攻击时无效，仅防小流量扫描 |
特别提示（针对美国服务器）
- 合规与法律：美国对版权（DMCA）监管极严，配置防御时确保业务内容合规，否则服务器可能被机房直接封禁（Null Route）。
- UDP攻击：美国服务器常被用于UDP反射攻击。如果不需要UDP服务（如DNS、NTP），务必在防火墙丢弃所有UDP入站流量。
- IP清洗：一旦真实IP暴露并被攻击，普通机房通常只会封IP。务必在部署业务前配置好Cloudflare等CDN，防止IP泄露。
