我靠封ip，混了3年护网了...

最新推荐文章于 2025-08-13 21:12:41 发布

小杰的网工专栏

最新推荐文章于 2025-08-13 21:12:41 发布

阅读量592

点赞数 21

CC 4.0 BY-SA版权

文章标签： tcp/ip 数据库服务器 linux ssh 运维 java

很多小伙伴护网过程中是不是都在打打酱油、封封ip的日子中度过了。然后还拿到了不错的收入，说不定还能买个苕皮奖赏一下自己呢？

但是下面这些护网关于封ip的面试你会么？

我们在护网专栏中已经编写了近50篇，10w字，详细的编写了护网方案，护网执行清单，护网中产品使用清单以及护网的面试题库和面试经验。–文末有福袋哦。

答案：

流程：
1. 情报集成：通过API（如TIaaS）将外部威胁情报（如恶意IP列表）同步至防火墙。
2. 动态策略：在防火墙中创建动态地址组，关联威胁情报的IP列表。
3. 策略应用：配置安全策略，拒绝来自该地址组的所有流量（如deny ip any <威胁IP组>）。
4. 日志联动：封堵后记录日志并推送至SIEM，用于后续攻击溯源。
关键点：需考虑情报更新频率（如每5分钟同步）和IP有效性验证，避免误封合法IP。

答案：

实现步骤：
1. 路由注入：向运营商核心路由器发布一条目标IP的BGP路由，下一跳指向Null0接口。
2. 传播生效：该路由通过BGP协议扩散至全网，流量在骨干网即被丢弃。
适用场景：应对大规模DDoS攻击，牺牲被攻击IP的服务以保护网络整体可用性。
风险：需与运营商协作，且封堵期间目标IP完全不可用。

答案：

策略设计：
1. 流量基线：统计正常业务请求频率（如QPS≤100/秒）。
2. 阈值触发：在WAF或IPS上设置自动封禁规则（如单个IP每秒请求>500则封禁5分钟）。
3. 名单滚动：结合内存数据库（如Redis）管理临时封禁IP，超时后自动释放。
4. 白名单豁免：通过CDN厂商API将业务IP加入白名单，避免误封。
优化点：引入机器学习模型区分正常爬虫与攻击流量。

答案：

iptables：

iptables -A INPUT -s 1.2.3.4 -j DROP  # 封禁单个IP
iptables-save > /etc/sysconfig/iptables  # 持久化

优点：灵活，支持复杂规则链；缺点：大规模IP管理效率低。

hosts.deny：
```
echo "sshd: 1.2.3.4" >> /etc/hosts.deny  # 封禁SSH访问
```
优点：简单；缺点：仅支持TCP Wrapper服务（如SSHD）。

ipset：

ipset create blacklist hash:ip timeout 3600  # 创建带超时的IP集合
ipset add blacklist 1.2.3.4  
iptables -A INPUT -m set --match-set blacklist src -j DROP

优点：支持海量IP和超时自动释放；缺点：配置复杂度较高。

答案：

架构设计：
1. 流量监控：SDN控制器（如OpenDaylight）实时采集全网流量。
2. 威胁分析：集成IDS检测到攻击后，推送恶意IP至控制器。
3. 动态流表：控制器下发OpenFlow规则，将攻击流量重定向至隔离VLAN或直接丢弃。
优势：支持细粒度控制（如仅封禁特定协议端口），且可跨设备统一策略。
案例：基于Mininet+POX控制器实现自动化DDoS防御。

答案：

AWS方案：
1. Network ACL：在VPC层级添加拒绝规则（Deny 1.2.3.4/32）。
2. Security Group：直接编辑入站规则拒绝IP。
3. WAF联动：通过AWS WAF自定义IP匹配条件并关联到ALB。
阿里云方案：
1. 云防火墙：在“访问控制”页面批量导入封禁IP列表。
2. SLB黑名单：在负载均衡控制台配置黑名单策略。
关键点：利用云厂商API实现自动化封禁（如通过Lambda函数响应CloudWatch告警）。

答案：

定位步骤：
1. NetFlow分析：在核心交换机检索近期高频外联IP及端口。
2. 进程排查：通过EDR查看该主机的可疑进程（如反向Shell）。
3. 日志关联：匹配防火墙DENY日志中的异常协议（如ICMP隧道）。
封堵方案：
- 边界防火墙：添加该IP的出站DENY规则。
- 内部隔离：在接入交换机端口关闭或启用802.1X认证剔除该主机。

答案：

技术组合：
1. 反向路径验证（RPF）：在路由器启用uRPF，丢弃源IP不匹配路由表的数据包。
2. SYN Cookie：在负载均衡器启用SYN Cookie缓解资源耗尽问题。
3. 流量清洗：将流量引流至清洗中心，剥离伪造包后回注正常流量。
精准封堵：基于攻击特征（如特定TTL、TCP窗口大小）而非仅源IP。

答案：

挑战：
1. 地址空间巨大：IPv6地址难以通过传统ACL逐条封禁。
2. 隐私扩展地址：终端可能频繁更换后缀，导致封堵失效。
3. 协议差异：ICMPv6角色更关键，盲目封禁可能导致网络故障。
应对措施：
1. 前缀封堵：封禁整个/64或/48前缀（需谨慎评估业务影响）。
2. NDP监控：检测异常的邻居发现协议（NDP）行为。
3. IPv6防火墙策略：使用ip6tables基于流量行为而非单一地址封堵。