做机房，特别是高防机房，不仅需要一套好的网络布局来实现网络的负载均衡，还需要一套强大的硬件防火墙来做支撑，下边就由小编就带你们详细了解一下什么是高防服务器，以及防护DDos的原理。

高防服务器

抗DDos能力在50G以上的单个独立服务器，我们称之为高防服务器，能保障客户的业务安全及稳定，高防服务器地属于服务器的范畴内，每个机房的部署都是有区别的，硬防和软防也是目前防护的两大种类。硬防和软防是什么呢？用通俗易懂的说法就能够帮助客户抗下ddos或是CC攻击，对机房主节点线路进行全天候监测，检查服务器可能存在的安全漏洞，咱们都称之为高防服务器。

硬防和软防

在选择高安全性服务器时，您必须首先了解防御的类型和规模。防火墙是内部网和外部网之间以及专用网和公用网之间的一道保护屏障。防火墙分为两种类型：一种是软件防火墙，另一种是硬件防火墙。

1.软件防火墙：软件防火墙寄生在操作平台上。软件防火墙是通过软件将内部网与外部网络隔离的保护屏障。

2.硬件防火墙：硬件防火墙嵌入在系统中。硬件防火墙是由软件和硬件结合而成的。硬件防火墙在性能和防御方面优于软件防火墙。

流量牵引

这是新型防护手段，流量牵引技术，智能化的区分开正常与异常流量，把异常的攻击流量牵引到抗DDos或CC的防护设备上去，而不是让服务器自身来承受打击。

攻击种类

现在的攻击种类也多样化，Syn、Ack Flood、ICMP、HTTP GET、UDP_Flood、CC（Challenge Collapsar）、Tcp全连接攻击等这些都是攻击手段，就目前的防火墙设备来说只能分析每个数据包，分析数据连接的状态也是有限的，防护Syn或变异的Syn、Ack效果还行，但对Tcp和Udp协议不能从根本上来分析。其中Syn、UDP_Flood、CC（Challenge Collapsar）这几类也是最常见，遇到最频繁的攻击方式。当中CC（Challenge Collapsar）攻击是最为恶心，最让客户和机房头痛的攻击方式。

如何防护

什么是操作系统和分布式拒绝服务？DoS是一种使用单台计算机的攻击方法。分布式拒绝服务(DDoS)是基于拒绝服务攻击的一种特殊形式。这是一种分布式、协作的大规模攻击模式，主要针对相对较大的网站，如一些商业公司的、搜索引擎和政府部门的网站。DdoS攻击是利用一组受控机器攻击一台机器。这样的突然袭击很难防范，因此具很强的破坏性。如果网络管理员过去可以根据拒绝服务过滤IP地址，那么就没有办法处理拒绝服务的大量伪造地址。因此，防止DdoS攻击变得更加困难。如何采取有效措施来处理它？以下是从两个方面的介绍。DdoS攻击是黑客最常用的攻击手段，主要是为了确保安全而进行的防范。下面列出了一些常规的处理方法。

(1)常规扫描

定期扫描现有网络主节点，检查可能存在的安全漏洞，并及时清理新出现的漏洞。主干节点计算机由于其高带宽而成为黑客的最佳位置，因此加强这些主机自身的主机安全非常重要。此外，所有连接到网络主节点的计算机都是服务器级计算机，因此定期扫描漏洞变得更加重要。

(2)在主干节点配置防火墙

防火墙本身可以抵御DdoS攻击和其他攻击。当发现攻击时，可以将攻击定向到一些牺牲主机，这可以保护真正的主机免受攻击。当然，这些面向牺牲主机的系统可以选择不重要的系统，或者是像linux和unix这样漏洞很少、对攻击有很好的自然防御能力的系统。

(3)使用足够的机器来抵御黑客攻击

这是一个理想的应对策略。如果用户有足够的能力和资源来攻击黑客，当它不断访问用户、来获取用户资源时，它自己的能量逐渐被消耗，黑客可能无法支持攻击，直到用户被杀死。然而，这种方法需要大量的投资，而且大多数设备平时都是闲置的，这与中小企业网络的实际运行不相符合。

(4)充分利用网络设备保护网络资源

所谓网络设备是指路由器、防火墙等负载均衡设备，可以有效保护网络。当网络受到攻击时，路由器首先死亡，但其他机器没有死亡。重启后，失效路由器将恢复正常，并快速启动，不会有任何损失。如果其他服务器死亡，数据将会丢失，重新启动服务器是一个漫长的过程。特别是，一家公司使用负载平衡设备，因此当一台路由器受到攻击并崩溃时，另一台会立即工作。从而最大限度地减少DdoS攻击。

(5)过滤不必要的服务和端口

过滤不必要的服务和端口，也就是在路由器上过滤假的IP…许多服务器只打开服务端口是一种流行的做法，例如，WWW服务器只打开80个端口，并关闭所有其他端口或在防火墙上执行阻塞策略。

(6)检查访客来源

通过反向路由器查询，使用单播反向路径转发等方法检查访问者的IP地址是否正确。如果它是假的，它将被阻止。许多黑客攻击经常用假的IP地址来迷惑用户，并且很难找出它来自哪里。因此，使用单播反向路径转发可以减少虚假IP地址的发生，有助于提高网络安全性。

(7)过滤所有RFC1918的IP地址

RFC1918 IP地址是内部网的IP地址，例如10.0.0.0、 192.168.0.0和172.16.0.0。它们不是网段的固定IP地址，而是保留在互联网内部的区域IP地址，应该过滤掉。该方法不过滤内部人员的访问，而是过滤攻击过程中伪造的大量虚假内部IP，从而减少DdoS攻击。

(8)限制同步/ICMP流量

用户应在路由器上配置SYN/ICMP的最大流量，以限制SYN/ICMP数据包可占用的最大带宽，以便当大量SYN/ICMP流量超过限制时，这不是正常的网络访问，而是黑客入侵。早期限制SYN/ICMP流量是防止DOS的最好方法，虽然这种方法对DDoS的影响并不明显，但仍然可以起到一定的作用。如果用户受到攻击，寻找处理攻击的机会，他能做些什么来抵抗攻击将是非常有限的。由于一场大流量的灾难性攻击没有做好准备，网络很可能在用户恢复意识之前就瘫痪了。然而，用户仍然可以抓住机会寻找一线希望。

(1)检查攻击来源

通常黑客会通过多个假IP地址发起攻击，此时，如果用户能分辨出哪个是真正的IP地址，哪个是假IP地址，然后知道IP来自哪个网段，然后要求网络管理员关闭这些机器，以便从一开始就消除攻击。如果您发现这些IP地址来自外部，而不是来自公司的IP，您可以通过临时过滤服务器或路由器上的IP地址来过滤这些IP地址。

(2)找出攻击者通过的路径并阻止攻击

如果黑客从某些端口发起攻击，用户就可以阻止这些端口的入侵。然而，这种方法对公司的网络只有一个出口，当受到外部DDoS攻击时，它无法工作。毕竟，在退出端口关闭后，没有一台计算机能够访问互联网。

如果按照本文的方法和思路去防范DDos的话，收到的效果还是非常显著的，可以将攻击带来的损失降低到最小。