ddos怎么防？作為目前企業單位遭遇較多的一種網絡攻擊，DDOS的目的很簡單，就是使計算機或網絡無法提供正常的服務。面對ddos時，我們有哪些方法可用于防護。

限制服務器連接數

目前，市場上的安全產品，包括防火墻、入侵防御、ddos防御等產品主要采用限制服務器主機連接數，防御DDOS攻擊，為招數之基本。

使用安全產品限制受保護主機的連接數，即每秒訪問數量，可以確保受保護主機在網絡層處理上不超過負荷(不含CC攻擊)，雖然用戶訪問時斷時續，但可以保證受保護主機始終有能力處理數據報文。而使用安全產品限制客戶端發起的連接數，可以有效降低傀儡機的攻擊效果，即發起同樣規模的攻擊則需要更多的傀儡機。

攻擊防御溯本追源

針對CC攻擊防御的溯本追源技術，是通過對服務器訪問流量的實時監測，可以發現其在一定范圍內波動，此時設置服務器低壓閥值，當服務器訪問流量高于低壓閥值時開始記錄并跟蹤訪問源。

此外，還要設置一個服務器高壓閥值，此高壓閥值代表服務器能夠承受的最大負荷，當監測到服務器訪問流量達到或超過高壓閥值時，說明有DDOS攻擊發生，需要實時阻斷攻擊流量，此時系統將逐一查找受攻擊服務器的攻擊源列表，檢查每個攻擊源的訪問流量，將突發大流量的源IP地址判斷為正在進行的攻擊源，將這些攻擊源流量及其連接實時阻斷。

Syn Flood防御技術

syn cookie/syn proxy類防護技術：這種技術對所有的syn包均主動回應，探測發起syn包的源IP地址是否真實存在，如果該IP地址真實存在，則該IP會回應防護設備的探測包，從而建立TCP連接。大多數的國內外抗DDOS產品均采用此類技術。

Safereset技術：此技術對所有的syn包均主動回應，探測包特意構造錯誤的字段，真實存在的IP地址會發送rst包給防護設備，然后發起第2次連接，從而建立TCP連接。部分國外產品采用了這樣的防護算法。

syn重傳技術：該技術利用了TCP/IP協議的重傳特性，來自某個源IP的第一個syn包到達時被直接丟棄并記錄狀態，在該源IP的第2個syn包到達時進行驗證，然后放行。