windows2012如何抵御 DDoS 流量攻击？
美国、香港服务器
windows2012如何抵御 DDoS 流量攻击？
09-21 来源:
## 一、【最重要】源站白名单隔离（必做，防绕过高防直接打源 IP）
Windows 高级防火墙，**只放行高防服务商提供的回源 IP 段**，公网所有其他 IP 全部拒绝访问网站端口 80/443、FTP21。
PowerShell 示例（管理员运行，替换高防回源网段）
# 新建入站规则，仅放行高防回源IP段访问80端口
New-NetFirewallRule -DisplayName "Allow-Defense-80" -Direction Inbound -LocalPort 80 -Protocol TCP -RemoteAddress "1.1.1.0/24" -Action Allow
# 新建入站规则，仅放行高防回源IP段访问443端口
New-NetFirewallRule -DisplayName "Allow-Defense-443" -Direction Inbound -LocalPort 443 -Protocol TCP -RemoteAddress "1.1.1.0/24" -Action Allow
# 默认拒绝所有公网访问80/443
New-NetFirewallRule -DisplayName "Deny-All-80-443" -Direction Inbound -LocalPort 80,443 -Protocol TCP -RemoteAddress Any -Action Block
远程桌面 3389、FTP 端口同样只加白名单，**禁止 0.0.0.0/0 全网开放**。
## 二、系统 TCP 注册表优化，缓解 SYN 洪水、半开连接攻击
Windows Server2012 自带 SYN 保护，修改注册表强化 TCP 栈抗攻击，修改完成**需要重启服务器生效**
1. Win+R 输入 `regedit`，定位路径
`HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters`
新建 / 修改 DWORD 值：
| 项 | 推荐值 | 作用 |
| SynAttackProtect | 2 | 强化 SYN 洪水保护，快速回收半开连接 |
| TcpMaxHalfOpen | 500 | 最大半开 TCP 连接数量 |
| TcpMaxHalfOpenRetried | 400 | 重传后的半开连接上限 |
| TcpTimedWaitDelay | 30 | 缩短 TIME_WAIT 回收时间，快速释放端口 |
| MaxUserPort | 65534 | 扩大可用临时端口范围 |
查看半开连接命令，判断是否 SYN 攻击
netstat -n -p TCP | find /i "SYN"
## 三、IIS 8 配置动态 IP 限制（抵御七层 CC 攻击，HTTP 请求洪水）
Windows Server2012 自带 IIS8，内置**动态 IP 限制模块 Dynamic IP Security**，限制单个 IP 并发请求、短时间请求频次，拦截 CC 爬虫 / 攻击 IPMicrosoft ...。
### 方式 1：web.config 配置（网站根目录直接写入，推荐）
`enableProxyMode="true"`：流量经过高防 / CDN 时，读取真实客户端 IP（必须开启，否则会拦截高防回源节点 IP）
### 方式 2：PowerShell 命令，直接给站点配置
# 开启单IP并发限制
Set-WebConfigurationProperty -pspath "MACHINE/WEBROOT/APPHOST" -location "你的站点名" -filter "system.webServer/security/dynamicIpSecurity/denyByConcurrentRequests" -name enabled -value True
Set-WebConfigurationProperty -pspath "MACHINE/WEBROOT/APPHOST" -location "你的站点名" -filter "system.webServer/security/dynamicIpSecurity/denyByConcurrentRequests" -name maxConcurrentRequests -value 10
### IIS 额外加固
1. 请求筛选：限制超长 URL、禁止不必要 HTTP 方法（DELETE、TRACE 等）
2. 应用程序池设置：**快速故障保护**，超过异常请求自动回收进程，防止程序卡死
3. IP 和域限制：静态拉黑已知恶意 IP 网段
## 四、防火墙封禁危险协议，过滤 UDP/ICMP 攻击
四层 UDP 洪水、ICMP ping 洪水，在 Windows 高级防火墙直接拦截不需要的协议：
1. 屏蔽 ICMP（ping 洪水，按需，屏蔽后无法 ping 服务器）
2. 非业务端口全部关闭，只保留业务必要端口 80、443、FTP、管理端口（白名单）
# 阻止所有入站ICMP
New-NetFirewallRule -DisplayName "Block-ICMP-In" -Direction Inbound -Protocol ICMPv4 -Action Block
## 五、辅助工具：自动拉黑攻击 IP
IPBan：监控 Windows 安全日志、IIS 访问日志，当 IP 频繁请求 / 登录失败，自动添加 Windows 防火墙拉黑规则，适合 CC、扫描攻击。
三二互联专业提供香港VPS,美国VPS主机,香港云服务器租用等业务香港美国到大陆CN2 GIA速度最快
