Nginx/Apache服務連線數的維護管理及攻擊防護

2020-08-08 22:41:02

統計連線數,使用netstat命令或ss命令都可以,不過netstat比較常用,但ss需要重新安裝

yum install iproute

1)統計連線數(80埠)

netstat -nat|grep -i "80"|wc -l

或者

netstat -ant | grep $ip:80 | wc -l

2)檢視當前併發存取數(統計已連線上的),狀態爲「ESTABLISHED」

netstat -na|grep ESTABLISHED|wc -l

3)檢視IP存取次數

netstat -nat|grep ":80"|awk '{print $5}' |awk -F: '{print $1}' | sort| uniq -c|sort -n

檢視ip連線數(成功連線上的)

netstat -nat |grep ESTABLISHED | awk '{print $5}'|awk -F: '{print $1}'|sort|uniq -c|sort -nr|head -20

4)檢視併發請求數(伺服器連線數)及其TCP連線狀態:

netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'

結果解釋:
SYN_RECV 表示正在等待處理的請求數;
ESTABLISHED 表示正常數據傳輸狀態;
TIME_WAIT 表示處理完畢,等待超時結束的請求數;
FIN_WAIT1 表示server端主動要求關閉tcp連線;
FIN_WAIT2 表示用戶端中斷連線;
LAST_ACK 表示關閉一個TCP連線需要從兩個方向上分別進行關閉,雙方都是通過發送FIN來表示單方向數據的關閉,當通訊雙方發送了最後一個FIN的時候,發送方此時處於LAST_ACK狀態,當發送方收到對方的確認(Fin的Ack確認)後才真正關閉整個TCP連線;
CLOSING 表示兩邊同時嘗試關閉
或者執行watch命令:專門實時統計併發連線數和TCP連線數

watch "netstat -n | awk '/^tcp/ {++S[\$NF]} END {for(a in S) print a, S[a]}'"

5)查詢較多time_wait連線,降序排列

netstat -n|grep TIME_WAIT|awk '{print $5}'|sort|uniq -c|sort -rn|head -n20

如發現系統存在大量TIME_WAIT狀態的連線,該怎麼辦?
根據TCP協定定義的3次握手斷開連線規定,發起socket主動關閉的一方socket將進入TIME_WAIT狀態,TIME_WAIT狀態下的socket不能被回收使用。具體現象是對於一個處理大量短連線的伺服器,如果是由伺服器主動關閉用戶端的連線,將導致伺服器端存在大量的處於TIME_WAIT狀態的socket, 甚至比處於Established狀態下的socket多的多,嚴重影響伺服器的處理能力,甚至耗盡可用的socket,停止服務. TIME_WAIT是TCP協定用以保證被重新分配的socket不會受到之前殘留的延遲重發報文影響的機制 機製,是必要的邏輯保證.
通過調整內核參數解決,編輯/etc/sysctl.conf檔案,新增下面 下麪四行內容:

vi /etc/sysctl.conf
.....
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_tw_recycle = 1
net.ipv4.tcp_fin_timeout = 30

設定說明:
net.ipv4.tcp_syncookies = 1 表示開啓SYN cookies。當出現SYN等待佇列溢位時,啓用cookies來處理,可防範少量SYN攻擊,預設爲0,表示關閉;
net.ipv4.tcp_tw_reuse = 1 表示開啓重用。允許將TIME-WAIT sockets重新用於新的TCP連線,預設爲0,表示關閉;
net.ipv4.tcp_tw_recycle = 1 表示開啓TCP連線中TIME-WAIT sockets的快速回收,預設爲0,表示關閉。
net.ipv4.tcp_fin_timeout 修改系統預設的TIMEOUT時間

讓新增的參數生效

/sbin/sysctl -p