香港伺服器

14.07.2026

如何在惡意 CC 攻擊期間限制單一 IP 的並發連線數

限制每個 IP 的並發連線數，是防禦惡意 CC 攻擊、保護香港伺服器的關鍵。透過設定合理的並發連線上限，你可以在不影響正常使用者的前提下，阻斷可疑行為。多數瀏覽器通常同時開啟的連線數不超過 6 個。下表給出了建議的連線限制數值：

說明	數值
總並發半開連線上限	1000
單一客戶端上限	50

持續監控這些限制，有助於確保你的網站保持穩定且回應迅速。

要點速覽

限制每個 IP 的並發連線數，以保護伺服器免受 CC 攻擊。在正常瀏覽器使用之上設定門檻，在攔截攻擊者的同時，保障真實使用者的存取體驗。
定期監控流量模式。特別留意單一 IP 連線數的異常暴增，以便及早辨識潛在攻擊。
透過 Nginx 或 Apache 等伺服器設定來實施連線限制。啟用相關模組，協助追蹤並阻擋來自惡意使用者的過量請求。
依不同使用者群組調整連線限制。受信任使用者的上限可以高於一般訪客，以確保存取順暢。
記錄被拒絕的連線嘗試，用於分析攻擊模式。運用這些資料微調安全策略，提升防護效果。

理解 CC 攻擊

什麼是 CC 攻擊？

CC 攻擊（Challenge Collapsar 攻擊）會在短時間內向你的伺服器發送大量 HTTP 請求。攻擊者使用自動化工具或殭屍網路，向你的网站注入洪水般的流量，導致網站變慢甚至當機。你可能會發現伺服器沒有回應、網頁載入極度緩慢。攻擊者往往會使用大量不同的 IP 位址，有時也會集中從單一 IP 發起大量請求。

你需要及早識別 CC 攻擊的徵兆。留意流量的突然飆升，或來自某個單一 IP 的連線數異常增加。這類攻擊會損害你網站的聲譽，並為業務帶來實際損失。

為什麼限制並發連線有效？

當你對每個 IP 的並發連線數設限時，就能控制單一使用者在同一時間內可發起的請求數量。如此一來，可以阻止攻擊者透過大量連線壓垮伺服器。大多數真實使用者（例如瀏覽器使用者），同時只會開啟少量連線，而攻擊者則會嘗試同時開啟數十甚至上百個連線。

提示：將連線上限設定在略高於正常瀏覽器使用的水準（例如大於 6 條連線），可以在不影響正常存取的情況下，有效攔截攻擊者。

下表說明這一策略為何有效：

說明	解釋
限制並發連線	透過控制每個 IP 位址的同時連線數，協助緩解 DoS 與 DDoS 攻擊。
對合法使用者的影響	確保在阻斷惡意請求的同時，合法使用者仍能正常存取服務。

透過採用限制並發連線的策略，你可以防止伺服器過載，同時也能確保真實訪客始終能夠連上你的网站。

限制並發連線：伺服器設定

Nginx 的每 IP 限制

你可以使用 Nginx 為每個 IP 位址設定並發連線上限，從而阻止攻擊者一次開啟過多連線。Nginx 主要透過兩個指令來實現這項功能：

limit_conn_zone：建立共享記憶體區域，用於依 IP 追蹤連線數。
limit_conn：在 server 或 location 區塊實際套用連線限制。

範例設定如下：

http {
    limit_conn_zone $binary_remote_addr zone=addr:10m;

    server {
        location / {
            limit_conn addr 10;
        }
    }
}

此範例允許每個 IP 最多同時擁有 10 個並發連線。你應將該值設定在高於正常瀏覽器使用的水準。多數瀏覽器使用 6 條連線，因此 10 條足以保障真實使用者的空間。如果你發現攻擊者仍能穿透，可以適度下調上限。

提示：在設定這些限制後，請密切監控日誌。如果發現過多合法使用者被攔截，應及時調整參數。

Apache 的每 IP 限制

Apache 提供多種方式來限制並發連線。你可以使用 mod_evasive、mod_reqtimeout 等模組來保護伺服器。

功能	說明
連線限制	對資源使用施加規則，包括每個 IP 的最大連線數。
客戶端層級追蹤	依據請求模式監控並阻斷違規客戶端。
請求速率監控	限制請求速率和連線並發度，防止伺服器過載。
動態設定	透過 `QS_SrvMaxConn`、`QS_ClientEntries` 等指令實現彈性調整。
效能最佳化	在 Apache 2.4 搭配 worker MPM 時表現最佳，可高效處理大量請求。

你可以在設定檔中加入這些模組並設置限制。例如，使用 mod_evasive 時：

<IfModule mod_evasive20.c>
    DOSHashTableSize    3097
    DOSPageCount        5
    DOSSiteCount        20
    DOSBlockingPeriod   10
</IfModule>

此設定會阻斷在短時間內發起過多請求的 IP。你也可以使用 mod_reqtimeout 限制連線保持開啟的時間。兩者搭配，可以有效限制並發連線並降低 CC 攻擊風險。

mod_reqtimeout 限制連線的最低傳輸速度。
mod_evasive 限制單一 IP 的連線數量。
兩者皆有助於防禦如 Slowloris 等攻擊。

注意：務必將限制設定在高於正常使用者活動水準的範圍內。可以先從每 IP 10–20 條連線起步，再依實際情況調整。

Squid 代理的限制

若你使用 Squid 作為代理伺服器，可以控制每個客戶端 IP 的最大並發連線數。Squid 透過存取控制列表（ACL）與特定參數來達成這一目標。

參數	說明
client_db	必須啟用，`maxconn` 類型 ACL 才能生效。
maxconn ACL	限制每個客戶端 IP 可擁有的同時連線數。
http_access	拒絕超出連線上限的客戶端請求。

範例設定：

acl maxcon_clients maxconn 10
http_access deny maxcon_clients

此設定會拒絕任何並發連線數超過 10 的客戶端 IP。請確保已啟用 client_db 才能生效。同時，你也應為受信任主機建立存取控制規則，並在必要時設定使用時段，藉此在 CC 攻擊期間降低服務中斷風險。

依受信任 IP 或網域允許或限制存取。
設定代理使用時間區段，以降低尖峰時段的攻擊風險。

管理面板中的相關設定

許多管理面板允許你透過安全設定來配置連線上限。通常可在控制台的安全或網路設定中找到相關選項。

設定項	說明
連線硬上限	設定來自單一 IP 的最大並發連線數。
建議連線數	建議為每個 IP 允許 4–10 條連線，以符合典型瀏覽器行為。

請將連線硬上限設定在正常瀏覽器使用之上。多數使用者需要 4–10 條連線，這一範圍既能攔截攻擊者，又能確保一般訪客有良好體驗。有些面板還提供類似「Network Quota（網路額度）」的功能，你可以運用它進一步控管資源使用，保護伺服器安全。

提示：請參閱你所使用面板的官方文件了解具體操作步驟。不同服務供應商可能採用不同術語與設定項。

透過這些伺服器設定選項，你可以有效限制並發連線並防禦 CC 攻擊。務必持續監控流量，並依情況調整設定，以維持網站安全且高可用。

設定與調整連線上限

啟用所需功能

在限制並發連線之前，你需要先啟用相應模組與系統設定。不同的伺服器環境各有需求，可以參考以下步驟為系統做好準備：

在 Web 伺服器外掛設定中配置 MaxConnections 參數，用於控制每個子行程可處理的連線數。
在應用程式伺服器中降低 TCP 監聽佇列（listen backlog），以更好地管理傳入負載，防止過載。
監控 MaxConnections 的使用情況。將 LogLevel 設為 “Stats”，並使用管線日誌（piped logging）過濾與連線相關的事件。
透過編輯 /etc/sysctl.conf 檢查並設定核心的 file-max 參數，若伺服器需要處理更多連線，則提高最大開啟檔案數。
在 /etc/security/limits.conf 中，為 Web 伺服器使用者調整行程層級的 file-max（ulimit）。
修改 Nginx 的 systemd 單元檔，設定 LimitNOFILE，以支援所需連線數。
透過 cat /proc/sys/fs/file-max 檢視目前核心的 file-max 限制。
修改 /etc/sysctl.conf 後，使用 sysctl -p 套用變更。

提示：調整完成後，請使用 sysctl net.ipv4.tcp_max_syn_backlog 等指令進行確認，並檢查 Web 伺服器使用者的 ulimit，確保伺服器能支撐你設定的連線上限。

套用每 IP 連線限制

在啟用必要功能後，你就可以開始設定每個 IP 的連線上限。這一步有助於控制每個 IP 位址可同時建立的連線數。對於以 Linux 為基礎的伺服器，可參考以下步驟設定每 IP 限制：

透過 sysctl net.ipv4.tcp_max_syn_backlog 檢視目前連線佇列限制。
在 /etc/sysctl.conf 中調整 net.ipv4.tcp_max_syn_backlog，提高 TCP 連線上限。
在 /etc/security/limits.conf 中設定開啟檔案數的軟、硬限制。
在 /etc/sysctl.conf 中修改 fs.file-max，更新系統層級檔案描述元上限。
使用 sysctl net.ipv4.tcp_max_syn_backlog 確認新設定已生效。

設定完成後，你應持續監控流量模式，特別是單一 IP 連線數的異常上升。若發現合法使用者被誤攔截，或攻擊者仍能繞過限制，應及時調整參數。多數瀏覽器會使用最多 6 條連線，因此將上限設在此數值之上，可以避免誤傷真實使用者。

注意：使用日誌與監控工具追蹤活動連線，有助於你微調設定並在異常發生時快速應對。

封鎖惡意 IP

在 CC 攻擊期間，封鎖惡意 IP 是防禦中的關鍵環節。你需要快速識別可疑行為並即時處置。可以透過請求速率與來源 IP 等指標來鎖定攻擊者。下表展示如何利用速率限制模式（rate limit mode）來封鎖惡意流量：

參數	範例數值	說明
速率限制模式	Source > Per IP address	針對特定來源限制請求。當某個 IP 位址的流量超過設定門檻時，WAF 會限制該 IP 的流量速率。

你應封鎖超出連線或請求上限的 IP，但同時要留意誤判。錯封合法使用者會導致警報疲勞、資源浪費，並讓資安團隊備感挫折。因此，必須定期檢視日誌，並在發現誤封時儘速解除。