虚拟主机服务商在运营过程中或许会遭到黑客进犯，常见的进犯方式有SYN，DDOS等。经过替换IP，查找被进犯的站点或许避开进犯，可是中止服务的时间比较长。比较完全的解决办法是添加硬件防火墙。不过，硬件防火墙价格比较贵重。能够考虑运用Linux体系自身供给的防火墙功用来防护。
1. 抵挡SYN
SYN进犯是运用TCP/IP协议3次握手的原理，发送许多的树立衔接的网络包，但不实践树立衔接，终究导致被进犯服务器的网络行列被占满，无法被正常用户拜访。
Linux内核供给了若干SYN相关的装备，用指令：
sysctl -a | grep syn
看到：
net.ipv4.tcp_max_syn_backlog = 1024
net.ipv4.tcp_syncookies = 0
net.ipv4.tcp_synack_retries = 5
net.ipv4.tcp_syn_retries = 5
tcp_max_syn_backlog是SYN行列的长度，tcp_syncookies是一个开关，是否翻开SYN Cookie功用，该功用能够避免部分SYN进犯。tcp_synack_retries和tcp_syn_retries界说SYN的重试次数。
加大SYN行列长度能够包容更多等候衔接的网络衔接数，翻开SYN Cookie功用能够阻挠部分SYN进犯，下降重试次数也有必定作用。
调整上述设置的办法是：
添加SYN行列长度到2048：
sysctl -w net.ipv4.tcp_max_syn_backlog=2048
翻开SYN COOKIE功用：
sysctl -w net.ipv4.tcp_syncookies=1
下降重试次数：
sysctl -w net.ipv4.tcp_synack_retries=3
sysctl -w net.ipv4.tcp_syn_retries=3
为了体系重发动时坚持上述装备，可将上述指令参加到/etc/rc.d/rc.local文件中。
2. 抵挡DDOS
DDOS，分布式回绝拜访进犯，是指黑客安排来自不同来历的许多主机，向常见的端口，如80，25等发送许多衔接，但这些客户端只树立衔接，不是正常拜访。因为一般 Apache装备的承受衔接数有限(一般为256)，这些“假” 拜访会把Apache占满，正常拜访无法进行。
Linux供给了叫ipchains的防火墙东西，能够屏蔽来自特定IP或IP地址段的对特定端口的衔接。运用ipchains抵挡DDOS，便是首要经过netstat指令发现进犯来历地址，然后用ipchains指令阻断进犯。发现一个阻断一个。
*** 翻开ipchains功用
首要检查ipchains服务是否设为主动发动：
chkconfig –list ipchains
输出一般为：
ipchains 0:off 1:off 2:on 3:on 4:on 5:on 6:off
假如345列为on，阐明ipchains服务现已设为主动发动
假如没有，能够用指令：
chkconfig –add ipchains
将ipchains服务设为主动发动
其次，观察ipchains装备文件/etc/sysconfig/ipchains是否存在。假如这一文件不存在，ipchains
即便设为主动发动，也不会收效。缺省的ipchains装备文件内容如下：
# Firewall configuration written by lokkit
# Manual customization of this file is not recommended.
# Note: ifup-post will punch the current nameservers through the
# firewall; such entries will *not* be listed here.
:input ACCEPT
:forward ACCEPT
:output ACCEPT
-A input -s 0/0 -d 0/0 -i lo -j ACCEPT
# allow http,ftp,smtp,ssh,domain via tcp; domain via udp
-A input -p tcp -s 0/0 -d 0/0 pop3 -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 http -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 https -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 ftp -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 smtp -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 ssh -y -j ACCEPT
-A input -p tcp -s 0/0 -d 0/0 domain -y -j ACCEPT
-A input -p udp -s 0/0 -d 0/0 domain -j ACCEPT
# deny icmp packet
#-A input -p icmp -s 0/0 -d 0/0 -j DENY
# default rules
-A input -p tcp -s 0/0 -d 0/0 0:1023 -y -j REJECT
-A input -p tcp -s 0/0 -d 0/0 2049 -y -j REJECT
-A input -p udp -s 0/0 -d 0/0 0:1023 -j REJECT
-A input -p udp -s 0/0 -d 0/0 2049 -j REJECT
-A input -p tcp -s 0/0 -d 0/0 6000:6009 -y -j REJECT
-A input -p tcp -s 0/0 -d 0/0 7100 -y -j REJECT
假如/etc/sysconfig/ipchains文件不存在，能够用上述内容创立之。创立之后，发动ipchains服：
/etc/init.d/ipchains start
*** 用netstat指令发现进犯来历
假如说黑客进犯的是Web 80端口，观察衔接80端口的客户端IP和端口，指令如下：
netstat -an -t tcp | grep :80 | grep ESTABLISHED | awk ‘{printf %s %s\n,$5,$6}’ | sort
输出：
161.2.8.9:123 FIN_WAIT2
161.2.8.9:124 FIN_WAIT2
61.233.85.253:23656 FIN_WAIT2
…
榜首栏是客户机IP和端口，第二栏是衔接状况
假如来自同一IP的衔接许多(超越50个)，并且都是接连端口，就很或许是进犯。
假如只期望观察树立的衔接，用指令：
netstat -an -t tcp | grep :80 | grep ESTABLISHED | awk ‘{printf %s %s\n,$5,$6}’ | sort
*** 用ipchains阻断进犯来历
用ipchains阻断进犯来历，有两种办法。一种是参加到/etc/sysconfig/ipchains里，然后重发动ipchains服务。另一种是直接用ipchains指令加。屏蔽之后，或许还需要重新发动被进犯的服务，是现已树立的进犯衔接失效
* 参加/etc/sysconfig/ipchains
假定要阻挠的是218.202.8.151到80的衔接，修正/etc/sysconfig/ipchains文件，在:output ACCEPT
行下面参加：
-A input -s 218.202.8.151 -d 0/0 http -y -j REJECT
保存修正，重新发动ipchains：
/etc/init.d/ipchains restart
