Test wikitext

网站突然变慢、无法访问，或者重启 Apache 后立即恢复，可能不是带宽已经耗尽，而是大量 TCP 连接占用了 Apache 的进程、线程或连接队列。排查这类问题时，只需先建立一个简单框架：ss 负责观察连接，ipset 负责保存 IP 名单，iptables 负责决定放行或丢弃，connlimit 限制一个 IP 同时占用的连接数，hashlimit 限制一个 IP 建立新连接的速度。

观察连接现场：ss 与 watch

`ss` 是 Linux 中查看 Socket 状态的工具，可以把它理解成服务器网络层的现场监控器。它能够显示服务器是否仍在监听端口、目前有多少连接，以及这些连接处在 TCP 通信的哪个阶段。

下面的命令显示整个系统的 Socket 概况：

ss -s

它适合快速判断服务器的连接总量是否突然异常，但不能直接说明 443 端口有多少连接。

下面的命令检查是否仍有程序监听 HTTPS 端口：

ss -lntp '( sport = :443 )'

如果没有任何输出，说明当前没有程序监听 443 端口。问题通常应从 Apache 是否运行、HTTPS 配置是否成功加载、端口是否被其他程序占用等方向排查。

下面的命令统计已经完成 TCP 握手的 HTTPS 连接：

ss -Hnt state established '( sport = :443 )' | wc -l

`ESTABLISHED` 表示 TCP 三次握手已经完成。这些连接可能来自正常用户、搜索引擎、爬虫、KeepAlive 或慢连接，因此连接数量很高并不自动等于正在遭受攻击。

下面的命令统计尚未完成握手的 HTTPS 连接：

ss -Hnt state syn-recv '( sport = :443 )' | wc -l

如果 `SYN-RECV` 长时间异常增多，说明服务器收到了大量连接请求，但其中许多握手没有完成。这可能与 SYN flood、网络丢包或者 TCP 握手队列压力有关。

`watch` 本身不懂网络，它只是反复执行另一条命令。例如：

watch -n 1 "ss -Hnt state established '( sport = :443 )' | wc -l"

这表示每秒重新统计一次已经建立的 HTTPS 连接。

ss 负责观察，watch 负责持续观察。

管理名单与检查流量：ipset 和 iptables

`ipset` 是一个 IP 名单管理工具。它可以保存单个 IP，也可以保存整个网段。它本身不决定放行还是封禁，只负责维护名单。

例如，`mw_white` 可以保存白名单，`mw_ban` 可以保存黑名单。iptables 只需使用一条规则，便能查询整个名单，不必为每个 IP 分别建立一条防火墙规则。

向黑名单加入一个 IP：

ipset add mw_ban 74.7.227.12

向黑名单加入整个 `/24` 网段：

ipset add mw_ban 74.7.227.0/24

一个 `/24` 网段通常包含最多 256 个 IPv4 地址。封禁整个网段能够一次处理大量同源地址，但也比封禁单个 IP 更容易影响同一网段中的正常来源。

iptables 是真正执行网络判断的工具。进入服务器的数据包会按照规则的先后顺序接受检查。规则可以检查来源地址、目标端口、连接状态和 ipset 名单，然后决定继续检查、接受、返回上一层规则或者直接丢弃。

`DROP` 表示静默丢弃数据包。`RETURN` 表示结束当前自定义链，返回调用它的上一层链继续检查。

`-I` 是插入规则，`-A` 是把规则追加到链尾。由于 iptables 从上到下检查规则，规则顺序会直接影响最终结果。

下面的命令可以查看 INPUT 链、规则编号和每条规则的命中次数：

iptables -L INPUT -n -v --line-numbers

规则左侧的数据包数量会随着命中而增加，因此可以据此判断具体是哪条规则正在发挥作用。

ipset 是名单册，iptables 是按照名单和条件执行判断的门卫。

两种核心限制：connlimit 和 hashlimit

`connlimit` 解决的是并发连接问题。它关心的不是某个 IP 一天访问了多少次，而是这个 IP 此刻同时保持着多少条 TCP 连接。

如果一个来源 IP 同时保持几十甚至几百条连接，它可能持续占用服务器的 Socket、Apache 进程或工作线程。connlimit 可以在连接数量超过阈值以后，拒绝这个来源继续建立新连接。

connlimit 限制的是一个 IP 同时占用多少个座位。

`hashlimit` 解决的是新连接速度问题。有些异常流量不会长期保持大量连接，而是不断重复建立连接、关闭连接、再次建立连接。即使同时存在的连接数量不高，这种行为仍然会反复消耗 TCP 握手、TLS 握手和 Apache 资源。

使用 `--hashlimit-mode srcip` 时，每个来源 IP 都会单独计算速度。某个 IP 超过速率，只会影响这个 IP，不会让所有访问者共同争抢一个总额度。

hashlimit 限制的是一个 IP 冲进大门的速度。

hashlimit 看到的是 TCP 新连接，而不是 MediaWiki 页面请求。一个已经建立的 KeepAlive 连接可以连续发送多个 HTTP 请求，不会因为每次请求页面而重新进入 TCP 新连接状态。

因此，connlimit 和 hashlimit 主要处理连接层面的异常。真正的 HTTP 请求洪水还需要 CDN、WAF、反向代理或者 Apache 应用层规则处理。

最小防护规则

为了避免把新增规则散落在原有 INPUT 链中，可以建立一条独立的自定义链。所有网站连接限制都集中放在这条链里，撤销时也只需要删除这一条入口和自定义链。

应用规则前，可以把当前状态保存为文本备份：

# 保存当前 iptables 规则
iptables-save > /root/iptables-before-web-guard.v4

# 保存当前 ipset 名单
ipset save > /root/ipset-before-web-guard.set

建立独立的网站防护链：

# 如果防护链不存在，就创建它
iptables -nL MW-WEB-GUARD >/dev/null 2>&1 || \
iptables -N MW-WEB-GUARD

# 清空防护链中的旧测试规则
iptables -F MW-WEB-GUARD

白名单来源跳过本链中的连接限制，但仍会返回 INPUT 链，继续接受服务器原有规则的检查：

# 白名单跳过本链中的并发和速率限制
iptables -A MW-WEB-GUARD \
  -m set --match-set mw_white src \
  -j RETURN

限制单个 IPv4 地址同时占用过多网站连接：

# 单个 IPv4 地址同时超过 40 条网站连接时，拒绝继续建立新连接
iptables -A MW-WEB-GUARD \
  -p tcp --syn \
  -m connlimit \
  --connlimit-saddr \
  --connlimit-above 40 \
  --connlimit-mask 32 \
  -j DROP

这条规则只在对方建立新连接时检查。`--connlimit-saddr` 表示按照来源地址统计，`--connlimit-mask 32` 表示每个 IPv4 地址单独计算。

限制单个 IPv4 地址持续高速建立新连接：

# 单个 IPv4 地址持续超过每秒 10 个新连接时，丢弃超出的连接
iptables -A MW-WEB-GUARD \
  -p tcp --syn \
  -m hashlimit \
  --hashlimit-name mw_web_new \
  --hashlimit-mode srcip \
  --hashlimit-above 10/second \
  --hashlimit-burst 30 \
  --hashlimit-htable-expire 600000 \
  -j DROP

`10/second` 是持续速率，`burst 30` 用来容忍短时间的正常突发。该规则只丢弃超速期间的新连接，不会把来源 IP 永久加入黑名单。长期不活跃的速率记录会在十分钟后清理。

让进入 80 和 443 端口的 TCP 流量经过自定义防护链：

# 如果入口规则不存在，就把 80、443 流量送入网站防护链
iptables -C INPUT \
  -p tcp \
  -m multiport --dports 80,443 \
  -j MW-WEB-GUARD 2>/dev/null || \
iptables -I INPUT 1 \
  -p tcp \
  -m multiport --dports 80,443 \
  -j MW-WEB-GUARD

`iptables -C` 用来检查入口规则是否已经存在。只有规则不存在时，后面的插入命令才会执行，因此重复运行不会不断产生相同入口。

流量进入 `MW-WEB-GUARD` 后，白名单会先返回原 INPUT 链。其他来源依次检查并发连接数和建立新连接的速度。没有超限的流量走到自定义链末尾时，也会自动返回 INPUT 链，继续经过原有的腾讯云规则、黑名单规则和其他防火墙规则。

这套命令使用的是 IPv4 的 `iptables`。如果服务器同时通过 IPv6 对外提供网站服务，IPv6 流量需要由 `ip6tables`、nftables 或相应的 IPv6 防火墙规则处理。

查看命中与撤销规则

下面的命令显示自定义防护链及其命中次数：

iptables -L MW-WEB-GUARD -n -v --line-numbers

如果 connlimit 或 hashlimit 规则前面的数据包计数持续增加，说明相应规则正在丢弃超限的新连接。

下面的命令显示 INPUT 链中的入口：

iptables -L INPUT -n -v --line-numbers

INPUT 链中应当存在一条把 80、443 端口流量送入 `MW-WEB-GUARD` 的规则。

压力测试可以使用 Apache 自带的 `ab` 工具。例如：

ab -n 500 -c 50 https://qingliezhiquan.com/

这表示总共发送 500 个请求，同时保持最多 50 个并发请求。由于 ab 默认会频繁建立新连接，它可能同时触发 connlimit 和 hashlimit。

如果压力测试的来源 IP 存在于 `mw_white` 中，该来源会跳过本链限制，因此不会验证这两条规则。

撤销规则时，先删除 INPUT 链中的入口：

# 删除 INPUT 通往网站防护链的入口
iptables -D INPUT \
  -p tcp \
  -m multiport --dports 80,443 \
  -j MW-WEB-GUARD

然后清空并删除自定义链：

# 清空网站防护链
iptables -F MW-WEB-GUARD

# 删除网站防护链
iptables -X MW-WEB-GUARD

由于新增限制都集中在自定义链中，这些操作不会删除 `mw_white`、`mw_ban`、腾讯云链或其他原有规则。

也可以使用备份完整恢复此前的 iptables 状态：

iptables-restore < /root/iptables-before-web-guard.v4

Apache 与防火墙的边界

iptables 工作在 Apache 外部。它可以根据 IP、端口、TCP 标志、连接数量和连接速度丢弃流量，但它看不懂具体访问的是哪个 MediaWiki 页面，也不知道一个已经建立的连接中发送了多少次 HTTP 请求。

Apache 负责处理已经进入服务器的 HTTP 请求。慢速发送请求头、慢速上传请求体、KeepAlive 长时间空闲以及 Apache 工作线程被占满，都属于 Apache 层的问题。

`KeepAliveTimeout` 控制一次请求完成后，持久连接还可以空闲等待多久。等待时间较短，可以减少空闲连接长期占用服务器资源。

`RequestReadTimeout` 控制客户端必须在多长时间内、以怎样的最低速度发送完请求头或请求体。它主要用来处理故意极慢发送数据的 HTTP 客户端。

Apache 的 `event MPM` 比 `prefork MPM` 更擅长处理大量空闲 KeepAlive 连接，因为它不必让主要工作线程一直等待空闲连接。但 MPM 的选择还与 PHP 使用的是 mod_php 还是 PHP-FPM 有关。

iptables 负责控制谁能建立连接，Apache 负责控制连接进入以后怎样处理请求。

最终概念

`ss` 用来观察服务器当前存在什么连接，以及这些连接处于什么 TCP 状态。

`ipset` 用来保存 IP 和网段名单。

`iptables` 用来按照规则顺序决定流量的去向。

`connlimit` 用来限制单个 IP 同时占用的连接数量。

`hashlimit` 用来限制单个 IP 建立新连接的速度。

Apache 负责处理已经进入服务器的 HTTP 请求。

CDN、WAF 和云厂商负责在服务器上游处理分布式攻击、带宽型攻击和应用层请求洪水。

最小防护结构只需要保留三个核心方向：已经确认的恶意来源进入 `mw_ban`，单 IP 并发连接过高由 connlimit 处理，单 IP 建立新连接过快由 hashlimit 处理。

防火墙规则的价值不在于数量，而在于每条规则都明确知道自己限制的对象。