防火墙可以防御DDOS吗？

那么，可以很好地保护机房中使用的硬件防火墙免受DDOS攻击吗？

要研究此问题，让我们先来看一下家用计算机房中使用的硬件防火墙: 实际上，家用抗DDOS防火墙是比较知名的，其信誉和使用效果也应该相对较好. 黑洞，金色盾牌和Dosnipe产品. 其他一些所谓的“ XX防护DDoS防火墙”大多被窃或篡改，或者与单纯的欺骗无关.

Dosnipe防火墙:

Dosnipe防火墙的硬件体系结构的主要部分采用工业计算机（工业控制计算机），可以承受恶劣的工作环境并确保设备的稳定运行；软件平台为FreeBSD，核心算法为自行开发的单向一次性非法数据包识别方法，所有Filter机制都挂在驱动程序级别. 它可以完全解决所有dos / ddos​​攻击（synflood，ackflood，udpflood，icmpflood，igmpflood，arpflood，完全连接等）. 对于CC攻击，已启动DosNipe V8.0版本. 该内核非常有效且安全. 它过去曾抵制所有拒绝服务. 在攻击的基础上，添加了对CC攻击的新抵抗力. 新算法可以有效抵抗所有CC攻击及其变体. 识别准确率为100％，不会出现任何错误判断.

去年Dosnipe防火墙升级后，它具有更多新功能:

·彻底解决最新的M2攻击.

·支持多线路，多路由访问功能.

·支持流控制功能.

·更强大的过滤功能.

·最新升级，完全有效地解决了所有DDOS攻击，cc攻击的识别率达100％

黑洞反DDoS防火墙

黑洞反DDoS防火墙是国内IDC中广泛使用的反DoS和DDoS攻击产品. 其技术相对成熟，防护效果显着. 它已得到主要IDC组织的共同认可. 黑洞目前分为100M和Gigabit两类，可以有效防范相应网络环境下的高强度攻击，其性能远远超过同类保护产品. 千兆位黑洞主要用于保护骨干线上的防火墙和路由器等网络设备，而100M黑洞主要用于保护子网和服务器. 多种算法可用于识别攻击和正常流量，在高攻击流量环境中可以保证95％. 以上连接保留率和95％的新连接启动成功率，核心算法是通过汇编实现的，并且指令集针对Intel IA32体系结构进行了优化. 对标准TCP状态进行了简化和优化，其效率大大高于当前流行的SYN Cookie和Random Drop等算法.

黑洞保护:

·自我保护: 没有IP地址，网络不可见.

可以防御各种DoS攻击防火墙ddos是什么，例如SYN Flood，UDP Flood，ICMP Flood和（M）Stream Flood.

·可以有效防止连接耗尽，主动删除服务器上剩余的连接，提高网络服务质量，抑制网络蠕虫的传播.

·防止DNS查询泛滥，保护DNS服务器的正常运行.

·可以向各种端口扫描软件提供反馈信息，因此还可以防止其他类型的攻击. <​​/ p>

抵御DDOS防火墙的金色盾牌

金盾反DDOS防火墙是由合肥中信软件开发的. 它是为ISP访问提供商和IDC服务提供商开发的具有很强性的防火墙. 适用于Internet平台上的所有企业和个人用户，对于保护某些大型所和重要企业站点的网络畅通性具有重要作用.

该产品当前使用最低的驱动器技术来提供完整的面向连接的操作. 该公司已经研究并发明了一种解决方案，可在ISP的长期运行以及致力于网络安全的研究过程中防御和抵抗拒绝服务攻击. 测试结果表明，当前的防御算法可以抵抗所有已知的拒绝服务攻击，即完全抵御已知的DoS / DDoS攻击.

Golden Shield反DDOS防火墙可以抵抗多种拒绝服务攻击及其变种，并且可以阻止各种DoS / DDoS攻击，例如SYN Flood，TCP Flood，UDP Flood，ICMP Flood及其各种变体（例如Land，泪珠，蓝精灵，死亡之音等.

据说，该国近一半的电信和网通计算机房都有其产品. 金盾防火墙是专为DDOS攻击和黑客入侵而设计的级防火墙. 该设备采用独立开发的新一代抗拒绝攻击算法来实现. 100,000-1,000,000并发攻击的防御能力对正常用户的连接和使用没有影响. 专用架构可以改变TCP / IP的核心，在系统的核心实现防止攻击的算法，并在网络驱动程序层创新地实现算法，效率不受限制. 同时，它可以防御多种拒绝服务攻击及其变体，例如: SYN Flood. TCP Flood，UDP Flood，ICMP Flood及其变体Land，Teardrop，Smurf，Ping of Death等.

分析:

当然，一些技术人员提出了这样的观点: 原则上，上述类似产品不能说是防火墙，而应该说是异常的流量清理系统；当前的DDoS防御技术也可以在防火墙中使用，但是防火墙的功能是有限的，并且不能对每个阈值参数进行非常深入的分析和执行，只能执行一次，并且执行指标已失效. 学习后没有人会改进，这是防火墙的弱点，但是该产品通常很高. 说白了，带宽流量的环境应用放在运营商身上，因此该产品的性能要求非常严格，并且它必须经过测试. 这不是一个玩笑;因为这一系列的东西，操作员会用它来增加价值. 如果您是客户服务应用程序，则需要收款. 如果您无法抵抗一定数量的流量攻击，那么客户一定会转过脸.

因此，每个人最关心的问题是: 这些硬件防火墙可以阻止DDOS吗？

这些硬件防火墙是否可以阻止DDOS:

通常来说，这是可能的. 根据我们的理解，中国大多数计算机机房都表明金盾效应是可以通过的，黑洞效应则更好. Dosnipe的机房数量相对较少，因此收到的反馈意见不多，但是西南地区的一家电信机房代理告诉我，在机房中安装Dosnipe防火墙后，它确实防止了许多普通流量的攻击. <​​/ p

但是，如果DDOS攻击者增加了攻击流量并消耗了大量计算机机房的总出口带宽，则任何防火墙都相当于装饰，因为无论防火墙多么强大，出局带宽都已经累. ，整个计算机室似乎都从外面处于断开状态，就像一扇门已经满是人一样，无论您在门上布置了多少个警卫，这都是没有用的，外面的人无法进入，现在大多数攻击者的行为中有商业目的，并且经常用于G级攻击. 一些计算机房本来就没有足够的带宽. 当交通繁忙时，必须断开整个计算机房. 尽管防火墙检测到了攻击，但它也只能过滤掉非法数据包，并保护内部网络设备和服务器免受重创. 但是，断开连接是由计算机室的总带宽不足引起的. 不管防火墙有多好，它都无济于事.

因此，即使许多机房声称使用了良好的硬件防火墙，它们也可以抵御多少流量攻击，但是，如果您的服务器确实遭受了大流量攻击，则机房仍然害怕让您进入会影响其他对服务器的正常访问，并且托管服务器的费用不高. 为了做这么小的生意并造成烦，操作员必须感觉到这样做不划算. 最可怜的是机房的网络管理人员. IP.

摘要:

使用DDOS进行交易是一个相对复杂且庞大的系统项目. 依靠某个系统或产品来阻止DDOS是不现实的. 可以肯定的是，目前不可能完全消除DDOS防火墙ddos是什么，但是通过适当的措施，可以防御90％的DDOS攻击. 基于攻击和防御的成本，如果通过适当的方法增强了抵御DDOS的能力，则意味着攻击者的攻击成本会增加. 大多数攻击者将无法继续放弃，这相当于成功防御了DDOS攻击.

因此，有关硬件防火墙是否可以阻止DDOS的问题的答案实际上是非常可悲的. 从理论上讲，它确实有效果，但是这种效果如何，受攻击的网站和服务器将受到各种计算机机房的攻击. 就像瘟疫一样，它受到运营商的防范. 除了具有足够带宽和相对强大功能的单个运营商外，基本上没有人敢于接受这样的客户.

本文来自电脑杂谈，转载请注明本文网址：
http://www.pc-fly.com/a/ruanjian/article-244140-1.html