宝塔防DDoS设置教程，服务器稳如老狗的秘密

服务器半夜挂机？这滋味太酸爽

说实话，咱们做站的，谁没经历过半夜手机狂震，一看短信全是报警的绝望？CPU 100%，内存爆红，SSH连都连不上去，那种感觉真是想砸键盘。很多时候吧，这真不是你代码写得烂，纯粹是有人眼红你的流量，或者单纯手贱，搞了一波DDoS攻击。

这事儿吧，就像你家楼下开了家生意火爆的面馆，结果一群流氓雇了几百号人进去占座，一人只点一碗白开水，坐那就不动。真正想吃面的顾客进都进不去，生意直接瘫痪。服务器也是这个理，流量被恶意请求占满了，正常用户根本打不开页面。

别慌，咱们手里有宝塔面板，只要设置得当，能挡住绝大部分这种无脑攻击。今天就把压箱底的经验掏出来，手把手教你把服务器武装到牙齿。

第一步：宝塔自带防火墙，别当摆设

很多人装了宝塔，只顾着装环境，那个“系统防火墙”插件从来不开，这简直是裸奔。咱们先把这个基础盾牌给立起来。

去软件商店，搜“系统防火墙”，装上它。这个插件主要是干嘛的呢？它是基于iptables的，能帮你过滤掉一些搞事情的IP段。

• 禁ping： 这一点必须做。别让黑客轻易探到你服务器是活着的，把“禁Ping”勾上，这就好比你关了门外的灯，坏人不知道家里有没有人。
• 端口屏蔽： 只留你必须要用的端口，比如80（HTTP）、443（HTTPS）、22（SSH，最好改个默认端口）。其他乱七八糟的端口全给封了，别给人家留后门。
• SSH防护： 在安全设置里，把SSH的登录失败次数限制一下，比如3次输错密码直接封IP。这能防住那些拿着字典疯狂爆破密码的脚本小子。

第二步：Nginx这一手，限制并发很关键

光有系统防火墙还不够，有些攻击是针对应用层的，也就是HTTP/HTTPS洪水攻击。这时候得靠Nginx配置来限流，这就好比在店门口加个保安，每个人进来都得查身份证，进来的速度太快就拦住。

咱们直接改Nginx的配置文件，在宝塔面板里找到“软件商店” -> “Nginx设置” -> “配置修改”。

在 http 代码块里加上这段限流配置：

```nginx 定义一个限流区域，名叫one，占用10M内存，平均每秒只允许每个IP请求1次 limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s; 定义限制连接数，每个IP最多同时保持5个连接 limit_conn_zone $binary_remote_addr zone=addr:10m; ```

加完之后，还得去你的网站配置里调用它。在网站的 server 代码块里加上：

```nginx 应用刚才定义的限流规则，允许瞬间爆发5个请求，超过就开始限制 limit_req zone=one burst=5 nodelay; 限制每个IP只能建立5个并发连接 limit_conn addr 5; ```

这段代码啥意思呢？rate=1r/s 就是限制每个IP一秒只能发一次请求，burst=5 是允许瞬间缓冲5个请求。如果是正常用户浏览页面，根本感觉不到限制。但如果是攻击脚本，一秒钟发几百个请求，直接就给弹回503错误了。

这一招下去，那种廉价的CC攻击立马就没脾气了，你会发现CPU占用率瞬间就掉下来了，这感觉简直爽翻天。

第三步：终极护盾，必须上CDN

扎心真相来了：如果你的带宽被彻底打满了，比如你服务器就5M带宽，对方给你灌了10G的流量，那你上面设置得再花哨也没用。因为数据根本没进到你的CPU处理层，在网口就堵死了。

这时候，唯一的出路就是CDN。这就好比你是面馆老板，流氓直接把你家门口的路给堵死了。怎么办？你在隔壁城开个分店（CDN节点），让顾客先去分店，分店再通过秘密通道把单子传给你。流氓堵你大门口没用，因为顾客根本不去你门口。

不管是Cloudflare还是国内的云厂商CDN，一定要套上。开启Web应用防火墙（WAF），把“防CC攻击”、“防DDoS”的选项全部开到最高档。让专业的CDN厂商去抗流量，他们有几千G的带宽储备，咱们这点小攻击在人家眼里就是毛毛雨。

最后唠叨两句

安全这事儿吧，没有绝对的安全，只有让攻击者觉得“攻你这台服务器成本太高，不划算”。做完宝塔的设置，再套个CDN，基本上能过滤掉99%的闲得蛋疼的攻击者。

别等服务器被打挂了再想起来，那时候黄花菜都凉了。赶紧去检查一下你的设置，把漏洞补上，今晚才能睡个安稳觉。搞完这一套，看着服务器负载那个“0.00”，心里是不是踏实多了？