香港服务器

14.07.2026

如何在恶意 CC 攻击期间限制单个 IP 的并发连接数

限制每个 IP 的并发连接数，是防御恶意 CC 攻击、保护香港服务器的关键。通过设置合理的并发连接上限，你可以在不影响正常用户的前提下，阻断可疑行为。多数浏览器通常同时打开的连接数不超过 6 个。下表给出了推荐的连接限制数值：

说明	数值
总并发半开连接上限	1000
单客户端上限	50

持续监控这些限制，有助于确保你的网站保持稳定且响应迅速。

要点速览

限制每个 IP 的并发连接数，以保护服务器免受 CC 攻击。在正常浏览器使用之上设置阈值，在拦截攻击者的同时保证真实用户的访问体验。
定期监控流量模式。重点关注单个 IP 连接数的异常激增，以便及早识别潜在攻击。
通过 Nginx 或 Apache 等服务器配置来实施连接限制。启用相关模块，帮助跟踪并阻断来自恶意用户的过量请求。
根据不同用户组调整连接限制。受信任用户的上限可以高于普通访客，以保证访问顺畅。
记录被拒绝的连接尝试，用于分析攻击模式。利用这些数据微调安全策略，提升防护效果。

理解 CC 攻击

什么是 CC 攻击？

CC 攻击（Challenge Collapsar 攻击）会在短时间内向你的服务器发送大量 HTTP 请求。攻击者使用自动化工具或僵尸网络向你的网站注入洪水般的流量，导致网站变慢甚至宕机。你可能会发现服务器无响应、网页加载极其缓慢。攻击者往往会使用大量不同的 IP 地址，有时也会集中从单个 IP 发起大量请求。

你需要及早识别 CC 攻击的迹象。关注流量的突然飙升，或来自某个单一 IP 的连接数量异常增大。这类攻击会损害你的网站声誉，并给业务带来实质损失。

为什么限制并发连接有效？

当你对每个 IP 的并发连接数设限时，就能控制单个用户在同一时间内可发起的请求数量。这样可以阻止攻击者通过大量连接来压垮服务器。大多数真实用户（例如浏览器用户），同时只会打开少量连接，而攻击者则会尝试同时打开数十甚至上百个。

提示：将连接上限设置在略高于正常浏览器使用的水平（例如大于 6 条连接）可以在不影响正常访问的情况下，有效拦截攻击者。

下表说明了这一策略为何有效：

说明	解释
限制并发连接	通过控制每个 IP 地址的同时连接数，帮助缓解 DoS 和 DDoS 攻击。
对合法用户的影响	确保在阻断恶意请求的同时，合法用户仍然可以正常访问服务。

通过采用限制并发连接的策略，你可以防止服务器过载，同时也能确保真实访客始终能够访问你的网站。

限制并发连接：服务器配置

Nginx 的每 IP 限制

你可以使用 Nginx 为每个 IP 地址设置并发连接上限，从而阻止攻击者一次性打开过多连接。Nginx 主要通过两个指令来实现这一功能：

limit_conn_zone：创建共享内存区域，用于按 IP 追踪连接数。
limit_conn：在 server 或 location 块中实际应用连接限制。

示例配置如下：

http {
    limit_conn_zone $binary_remote_addr zone=addr:10m;

    server {
        location / {
            limit_conn addr 10;
        }
    }
}

此示例允许每个 IP 最多同时拥有 10 个并发连接。你应将该值设定在高于正常浏览器使用的水平。大多数浏览器使用 6 条连接，因此 10 条足以保证真实用户的访问空间。如果你发现攻击者仍能通过，可以适当下调该上限。

提示：在设置这些限制后，请密切监控日志。如果发现过多合法用户被拦截，应及时调整参数。

Apache 的每 IP 限制

Apache 提供多种方式来限制并发连接。你可以使用 mod_evasive、mod_reqtimeout 等模块来保护服务器。

功能	说明
连接限制	对资源使用施加规则，包括每个 IP 的最大连接数。
客户端级追踪	根据请求模式监控并阻断违规客户端。
请求速率监控	限制请求速率和连接并发度，防止服务器过载。
动态配置	通过 `QS_SrvMaxConn`、`QS_ClientEntries` 等指令实现灵活配置。
性能优化	在 Apache 2.4 搭配 worker MPM 时表现最佳，可高效处理大量请求。

你可以在配置文件中添加这些模块并设置限制。例如，使用 mod_evasive 时：

<IfModule mod_evasive20.c>
    DOSHashTableSize    3097
    DOSPageCount        5
    DOSSiteCount        20
    DOSBlockingPeriod   10
</IfModule>

该配置会阻断在短时间内发起过多请求的 IP。你也可以使用 mod_reqtimeout 限制连接保持打开的时间。两者结合，可以有效限制并发连接并降低 CC 攻击风险。

mod_reqtimeout 限制连接的最小传输速率。
mod_evasive 限制单个 IP 的连接数量。
两者均有助于防御诸如 Slowloris 等攻击。

注意：务必将限制设置在高于正常用户活动水平的范围内。可以从每 IP 10–20 条连接起步，然后根据实际情况调整。

Squid 代理的限制

如果你使用 Squid 作为代理服务器，可以控制每个客户端 IP 的最大并发连接数。Squid 通过访问控制列表（ACL）和特定参数来完成这一工作。

参数	说明
client_db	必须启用，`maxconn` 类型 ACL 才能生效。
maxconn ACL	限制每个客户端 IP 可以拥有的同时连接数。
http_access	拒绝超过连接上限的客户端请求。

示例配置：

acl maxcon_clients maxconn 10
http_access deny maxcon_clients

该配置会拒绝任何并发连接数超过 10 的客户端 IP。请确保已启用 client_db 才能生效。同时，你还应为受信任主机创建访问控制策略，并在必要时设置工作时间范围，从而在 CC 攻击期间减少服务中断风险。

根据受信任 IP 或域名允许或限制访问。
设置代理使用时间窗口，以减少高峰期的攻击风险。

管理面板中的相关设置

许多管理面板允许你通过安全设置来配置连接上限。通常可以在控制面板的安全或网络设置中找到相关选项。

设置项	说明
连接硬上限	设定来自单个 IP 的最大并发连接数。
推荐连接数	建议为每个 IP 允许 4–10 条连接，以匹配典型浏览器行为。

请将连接硬上限设置在正常浏览器使用之上。大多数用户需要 4–10 条连接，这一范围既能拦截攻击者，又能保证普通访客的良好体验。一些面板还提供类似“网络配额（Network Quota）”的功能，你可以利用它进一步控制资源使用，保护服务器安全。

提示：请查阅你所使用面板的官方文档了解具体操作步骤。不同服务商可能使用不同的术语和配置项。

通过这些服务器配置选项，你可以有效限制并发连接并防御 CC 攻击。务必持续监控流量，并根据情况调整设置，以保持网站安全与高可用。

设置与调整连接上限

启用所需功能

在限制并发连接之前，你需要先启用相应模块和系统设置。不同的服务器环境有各自的要求，可以参考以下步骤为系统做好准备：

在 Web 服务器插件配置中设置 MaxConnections 参数，用于控制每个子进程可处理的连接数。
在应用服务器中降低 TCP 监听队列（listen backlog），以更好地管理传入负载，防止过载。
监控 MaxConnections 的使用情况。将 LogLevel 设为 “Stats”，并使用管道日志（piped logging）过滤连接事件。
通过编辑 /etc/sysctl.conf 检查并配置内核的 file-max 参数，如果服务器需要处理更多连接，就提高最大打开文件数。
在 /etc/security/limits.conf 中为 Web 服务器用户调整进程级 file-max（ulimit）。
修改 Nginx 的 systemd 单元文件，设置 LimitNOFILE，以支持所需的连接数。
使用 cat /proc/sys/fs/file-max 查看当前内核 file-max 限制。
在修改 /etc/sysctl.conf 后，通过 sysctl -p 应用更改。

提示：调整完成后，请使用 sysctl net.ipv4.tcp_max_syn_backlog 等命令进行确认，并检查 Web 服务器用户的 ulimit，确保服务器能够支撑你设定的连接上限。

应用每 IP 连接限制

在启用必要功能之后，你就可以开始设置每个 IP 的连接上限了。这一步有助于控制每个 IP 地址可同时建立的连接数。对于基于 Linux 的服务器，可以参考以下步骤配置每 IP 限制：

通过 sysctl net.ipv4.tcp_max_syn_backlog 查看当前连接队列限制。
在 /etc/sysctl.conf 中调整 net.ipv4.tcp_max_syn_backlog，提高 TCP 连接上限。
在 /etc/security/limits.conf 中设置打开文件数的软硬限制。
在 /etc/sysctl.conf 中修改 fs.file-max，更新系统级文件描述符上限。
使用 sysctl net.ipv4.tcp_max_syn_backlog 确认新设置已生效。

设置完成后，你应持续监控流量模式，特别是单个 IP 连接数的异常上升。若发现合法用户被误拦截，或攻击者仍能绕过限制，应及时调整参数。多数浏览器会使用最多 6 条连接，因此将上限设在此数值之上，可以避免误伤真实用户。

注意：使用日志和监控工具追踪活动连接，有助于你微调配置并在出现异常时快速响应。

阻断恶意 IP

在 CC 攻击期间，阻断恶意 IP 是防御中的关键环节。你需要快速识别可疑行为并及时处置。可以通过请求速率与来源 IP 等指标来定位攻击者。下表展示了如何利用速率限制模式（rate limit mode）来阻断恶意流量：

参数	示例数值	说明
速率限制模式	Source > Per IP address	针对特定来源限制请求。当某个 IP 地址的流量超过设定阈值时，WAF 会对其流量进行限速。

你应当阻断超出连接或请求上限的 IP，但同时要谨防误报。误封合法用户会导致告警疲劳、浪费资源，并让安全团队倍感挫败。因此，必须定期审查日志，并在发现误封时及时解封。