| 加固项 | 扫描与滥用缓解 |
|---|---|
| 适用平台 | Linux（iptables） |
| 风险等级 | 中 |
| 基线 | 单源并发有上限 |
单源并发与畸形包过滤
单源并发与畸形包过滤
iptables -A INPUT -p tcp --tcp-flags ALL NONE -j DROP
iptables -A INPUT -p tcp --tcp-flags ALL ALL -j DROP
iptables -A INPUT -p tcp --syn --dport 443 -m connlimit --connlimit-above 50 --connlimit-mask 32 -j REJECT --reject-with tcp-resetNAT 后大量用户共享出口 IP 时 --connlimit-mask 32 会误伤：面向 C 端的入口改用速率限制而非并发数限制。