RouterOS当服务器防火墙用可以吗？
可以的。
RouterOS是一种路由操作系统，可以通过该系统软件将标准的PC做成专用的路由器，RouterOS经历了多次更新和改进，它的功能在不断增强和完善。特别在无线、认证、策略路由、带宽控制和防火墙过滤等功能上有着非常突出的功能，其极高的性价比，受到许多网络人士的青睐。
ISA有过滤测数据包的功能,作为著名路由级网络防火墙Microsoft® Internet Security and Acceleration Server 2000的升级版，微软已经在2004 年7 月13日发布了Microsoft® Internet Security and Acceleration （ISA） Server 2004（以下简称为ISA Server 2004）。它和ISA Server 2000相比，到底有哪些值得我们期待的新功能呢？本节详细地介绍ISA Server 2004 的新特性，并且图文并茂的介绍了ISA Server 2004 中新增加的重要功能。
和ISA Server 2000 相比，ISA Server 2004 中引入了多网络支持、易于使用且高度集成的虚拟专用网络配置、扩展的和可扩展的用户和身份验证模型、深层次的HTTP 协议检查以及经过改善的管理功能（包括配置导入和导出)。
请问下ROS防火墙怎么做才能防DDOS
个人感觉DDOS是没办法完全杜绝的，最好的办法就是增加网络带宽，不过现在业内的猎鹰DDOS好像很牛X，秒杀一切！现在防御越来越难了，付出的代价也大了
服务器如何防止ddos
服务器防止 DDoS 攻击的方法包括但不限于：
1、全面综合地设计网络的安全体系，注意所使用的安全产品和网络设备。
2、提高网络管理人员的素质，关注安全信息，遵从有关安全措施，及时地升级系统，加强系统抗击攻击的能力。
3、在系统中加装防火墙系统，利用防火墙系统对所有出入的数据包进行过滤，检查边界安全规则，确保输出的包受到正确限制。
4、优化路由及网络结构。对路由器进行合理设置，降低攻击的可能性。
5、优化对外提供服务的主机，对所有在网上提供公开服务的主机都加以限制。
6、安装入侵检测工具（如 NIPC、NGREP），经常扫描检查系统，解决系统的漏洞，对系统文件和应用程序进行加密，并定期检查这些文件的变化。
在响应方面，虽然还没有很好的对付攻击行为的方法，但仍然可以采取措施使攻击的影响降至最小。对于提供信息服务的主机系统，应对的根本原则是：
尽可能地保持服务、迅速恢复服务。由于分布式攻击入侵网络上的大量机器和网络设备，所以要对付这种攻击归根到底还是要解决网络的整体安全问题。
真正解决安全问题一定要多个部门的配合，从边缘设备到骨干网络都要认真做好防范攻击的准备，一旦发现攻击就要及时地掐断最近攻击来源的那个路径，限制攻击力度的无限增强。
网络用户、管理者以及 ISP 之间应经常交流，共同制订计划，提高整个网络的安全性。
以上内容参考：百度百科-分布式拒绝服务攻击
高分求解。懂routeros的进来！遭遇DDOS！
DOS（Denial of Service）攻击是一种很简单但又很有效的进攻方式，能够利用合理的服务请求来占用过多的服务资源，从而使合法用户无法得到服务。DDOS(Distributed Denial of Service)是一种基于DOS的特殊形式的拒绝服务攻击，攻击者通过事先控制大批傀儡机，并控制这些设备同时发起对目标的DOS攻击，具有较大的破坏性。
常见的DOS/DDOS攻击可以分为两大类：一类是针对系统漏洞的的攻击如Ping of Death、TearDrop等，例如泪滴（TearDrop）攻击利用在 TCP/IP协议栈实现中信任IP碎片中的包的标题头所包含的信息来实现攻击，IP 分段含有指示该分段所包含的是原包的哪一段信息，某些 TCP/IP协议栈（例如NT 在service pack 4 以前）在收到含有重叠偏移的伪造分段时将崩溃。另一类是带宽占用型攻击比较典型的如UDP flood 、SYN flood、ICMP flood等，SYN Flood具有典型意义，利用TCP协议建连的特点完成攻击。通常一次TCP连接的建立包括3个步骤，客户端发送SYN包给服务器端，服务器分配一定的资源给这里连接并返回 SYN/ACK包，并等待连接建立的最后的ACK包，最后客户端发送ACK报文，这样两者之间的连接建立起来，并可以通过连接传送资料了。而SYN Flood攻击的过程就是疯狂发送SYN报文，而不返回ACK报文，服务器占用过多资源，而导致系统资源占用过多，没有能力响应别的操作，或者不能响应正常的网络请求。
从现在和未来看，防火墙都是抵御DOS/DDOS攻击的重要组成部分，这是由防火墙在网络拓扑的位置和扮演的角色决定的，下面以港湾网络有限公司基于NP架构开发的SmartHammer系列防火墙说明其在各种网络环境中对DOS/DDOS攻击的有效防范。
1、基于状态的资源控制，保护防火墙资源
港湾网络SmartHammer防火墙支持IP Inspect功能，防火墙会对进入防火墙的资料做严格的检查，各种针对系统漏洞的攻击包如Ping of Death、TearDrop等，会自动被系统过滤掉，从而保护了网络免受来自于外部的漏洞攻击。对防火墙产品来说，资源是十分宝贵的，当受到外来的DDOS攻击时，系统内部的资源全都被攻击流所占用，此时正常的资料报文肯定会受到影响。SmartHammer基于状态的资源控制会自动监视网络内所有的连接状态，当有连接长时间未得到应答就会处于半连接的状态，浪费系统资源，当系统内的半连接超过正常的范围时，就有可能是判断遭受到了攻击。SmartHammer防火墙基于状态的资源控制能有效控制此类情况。
控制连接、与半连的超时时间；必要时，可以缩短半连接的超时时间，加速半连接的老化；
限制系统各个协议的最大连接值，保证协议的连接总数不超过系统限制，在达到连接上限后删除新建的连接；
限制系统符合条件源/目的主机连接数量；
针对源或目的IP地址做流限制，Inspect可以限制每个IP地址的的资源，用户在资源控制的范围内时，使用并不会受到任何影响，但当用户感染蠕虫病毒或发送攻击报文等情况时，针对流的资源控制可以限制每个IP地址发送的连接数目，超过限制的连接将被丢弃，这种做法可以有效抑制病毒产生攻击的效果，避免其它正常使用的用户受到影响。
单位时间内如果穿过防火墙的“同类”数据流超过门限值后，可以设定对该种类的数据流进行阻断，对于防止IP、ICMP、UDP等非连接的flood攻击具有很好的防御效果。
2、智能TCP代理有效防范SYN Flood
SYN Flood是DDOS攻击中危害性最强，也是最难防范的一种。这种攻击利用TCP协议缺陷，发送大量伪造的TCP连接请求，从而使得被攻击方资源耗尽（CPU满负荷或内存不足）。SmartHammer系列防火墙能够利用智能TCP代理技术，判断连接合法性，保护网络资源。如图
防火墙工作时，并不会立即开启TCP代理（以免影响速度），只有当网络中的TCP半连接达到系统设置的TCP代理启动警戒线时，正常TCP Intercept会自动启动，并且当系统的TCP半连接超过系统TCP Intercept高警戒线时，系统进入入侵模式，此时新连接会覆盖旧的TCP连接；此后，系统全连接数增多，半连接数减小，当半连接数降到入侵模式低警戒线时，系统推出入侵模式。如果此时攻击停止，系统半连接数量逐渐降到TCP代理启动警戒线以下，智能TCP代理模块停止工作。通过智能TCP代理可以有效防止SYN Flood攻击，保证网络资源安全。
3、利用NETFLOW对DOS攻击和病毒监测
网络监控在抵御DDOS攻击中有重要的意义。SmartHammer防火墙支持NetFlow功能，它将网络交换中的资料包识别为流的方式加以记录，并封装为UDP资料包发送到分析器上，这样就为网络管理、流量分析和监控、入侵检测等提供了丰富的资料来源。可以在不影响转发性能的同时记录、发送NetFlow信息，并能够利用港湾网络安全管理平台对接收到的资料进行分析、处理。
利用NetFlow监视网络流量。防火墙可以有效的抵御DDOS攻击，但当攻击流数量超过一定程度，已经完全占据了带宽时，虽然防火墙已经通过安全策略把攻击数据包丢弃，但由于攻击数据包已经占据了所有的网络带宽，正常的用户访问依然无法完成。此时网络的流量是很大的，SmartHammer防火墙可以利用内置的NetFlow统计分析功能，查找攻击流的数据源，并上报上级ISP，对数据流分流或导入黑洞路由。通过在防火墙相关接口下开启NetFlow采集功能，并设置NETFLOW输出服务器地址，这样就可以利用港湾安全管理平台对接收的资料进行分析处理。我们可以用此方法统计出每天流量的TOP TEN或者业务的TOP TEN等，以此做为标准，当发现网络流量异常的时候，就可以利用NetFlow有效的查找、定位DDOS攻击的来源。
利用NetFlow监视蠕虫病毒。防止蠕虫病毒的攻击，重要的是防止蠕虫病毒的扩散，只有尽早发现，才可以迅速采取措施有效阻止病毒。各种蠕虫病毒在感染了系统后，为了传播自身，会主动向外发送特定的数据包并扫描相关端口。利用这个特性，港湾网络在安全管理平台上建立相关的蠕虫病毒查询模板，定期查询，当发现了匹配的资料时，可以分析该地址是否已经感染病毒，然后采取相应的措施。
值得指出的是，防火墙在网络拓扑中的位置对抵御攻击也有很大影响，通常盒式防火墙被设计放置在网络的出口，这种情况下，虽然防火墙能够抵御从外部产生的攻击，但一旦网络内部的PC通过浏览网页、收发Email、下载等方式感染蠕虫病毒或有人从内部发起的恶意攻击时，防火墙是没有防护能力的。
港湾网络的SmartHammer ESP-FW防火墙模块可以解决此类问题，ESP-FW是港湾网络BigHammer6800系列交换机的一个安全模块，它继承了SmartHammer盒式防火墙的相关安全特性内置于交换机中，有效抵御来自内部网络的攻击。在插入了防火墙模块后，交换机可以选择将相关VLAN加入防火墙中，受防火墙保护。以VLAN做为保护对象的另一大优点是利于网络扩展，当有一个新增部门出现时，我们不需要再增加投资就可以使新增部门得到保护，网络部署异常灵活。这样当内部网络中出现异常数据流时，防火墙可以有效限制该数据的转发，保护其他VLAN不受影响。
笔者公司共有10台Web服务器，使用Redhat Linux 9作为操作系统，分布在全国各大城市，主要为用户提供HTTP服务。曾经有一段时间不少用户反映有的服务器访问速度缓慢，甚至不能访问，检查后发现是受到了DDoS攻击（分布式拒绝服务攻击）。由于服务器分布太散，不能采用硬件防火墙的方案，虽然IPtables功能很强大，足以应付大部分的攻击，但Linux系统自身对DDoS攻击的防御力本来就弱，只好另想办法了。
一、Freebsd的魅力
发现Freebsd的好处是在一次偶然的测试中，在LAN里虚拟了一个Internet，用一台Windows客户端分别向一台Windows Server、Linux Server和一台Freebsd在无任何防范措施的情况下发送Syn Flood数据包（常见的DDoS攻击主要靠向服务器发送Syn Flood数据完成）。Windows在达到10个包的时候就完全停止响应了，Linux在达到10个数据包的时候开始连接不正常，而Freebsd却能承受达100个以上的Syn Flood数据包。笔者决定将公司所有的Web服务器全换为Freebsd平台。
在使用Freebsd后，的确过了一段时间的安稳日子。不过近日又有用户再次反映网站不能正常访问，表现症状为用户打开网页速度缓慢，或者直接显示为找不到网站。用netstat ?Ca查看到来自某IP的连接刚好50个，状态均为FIN_WAIT 1，这是属于明显的DDoS攻击，看来Freebsd没有防火墙也不是万能的啊，于是就想到了装防火墙。
看了N多资料，了解到Freebsd下最常见的防火墙叫IP FireWall，中文字面意思叫IP防火墙，简称IPFW。但如果要使用IPFW则需要编译Freebsd系统内核。出于安全考虑，在编译结束后，IPFW是默认拒绝所有网络服务，包括对系统本身都会拒绝，这下我就彻底“寒”了，我放在外地的服务器可怎么弄啊？
大家这里一定要小心，配置稍不注意就可能让你的服务器拒绝所有的服务。笔者在一台装了Freebsd 5.0 Release的服务器上进行了测试。
二、配置IPFW
其实我们完全可以把安装IPFW看作一次软件升级的过程，在Windows里面，如果要升级一款软件，则需要去下载升级包，然后安装；在Freebsd中升级软件过程也是如此，但我们今天升级的这个功能是系统本身已经内置了的，我们只需要利用这个功能即可。打开这个功能之前，我们还要做一些准备工作。
下面开始配置IPFW的基本参数。
Step1：准备工作
在命令提示符下进行如下操作：
#cd /sys/i386/conf
如果提示没有这个目录，那说明你的系统没有安装ports服务，要记住装上。
#cp GENERIC ./kernel_IPFW
Step2：内核规则
用编辑器打开kernel_IPFW这个文件，在该文件的末尾加入以下四行内容：
options IPFIREWALL
将包过滤部分的代码编译进内核。
options IPFIREWALL_VERBOSE
启用通过Syslogd记录的日志；如果没有指定这个选项，即使你在过滤规则中指定了记录包，也不会真的记录它们。
options IPFIREWALL_VERBOSE_LI
MIT=10
限制通过Syslogd记录的每项包规则的记录条数。如果你受到了大量的攻击，想记录防火墙的活动，但又不想由于Syslog洪水一般的记录而导致你的日记写入失败，那么这个选项将会很有用。有了这条规则，当规则链中的某一项达到限制数值时，它所对应的日志将不再记录。
options IPFIREWALL_DEFAULT_TO
_ACCEPT
这句是最关键的。将把默认的规则动作从 “deny” 改为 “allow”。这句命令的作用是，在默认状态下，IPFW会接受任何的数据，也就是说服务器看起来像没有防火墙一样，如果你需要什么规则，在安装完成后直接添加就可以了。
输入完成后保存kernel_IPFW文件并退出。
ROS网吧软路由受攻击时该如何解决
ros网吧软路由可以说是网吧公认的性能比较优越的路由器，之前小编也介绍过，ros软路由是一款网吧硬路由根本无法与之比拟的路由器。详见文章《
routeros软路由的基本设置
》虽说ros软路由所向无敌，但也还是会出现一些问题，比如遭受外在的攻击。目前，
攻击网吧路由器
ROS网吧软路受攻击。
很多使用ROS软路由的网吧，都没有进行禁ping设置
，这样也就给了外网判断此IP在线的方法。有位网吧网络管理员说自己遭受DDOS攻击，路由器直接DOWN掉，其实这个问题的发生起因是内网中马，在老黑利用此马对其他的IP用户进行攻击的时候，你的网吧成为了一个IP攻击源，引起大量数据传输，导致ROS掉线。
针对这个问题的解决办法，首要的问题是找出问题源，也就是中毒的机器，再者就是将ROS的IP隐藏，让自己的IP保持安全性，同时将内网可以查询IP的一切网站进行屏蔽，让别人从内网和外网都对你的IP搞不到头脑，这样他也无从下手。
具体做法如下：既然要隐藏IP,但必须要保持ROS的访问正常，则需要做几项改动。
1.更改ROS的web访问端口，进入winbox-IP-services-
这样更改后，登陆ROS的时候需要在IP后面加上您的端口才可以正常进入，如上图中的登陆的话就应该更改为：
打开winbox-在IP地址处添加您的IP：5188-输入用户密码就可以进行登陆了。
2.添加外网禁ping防火墙进入winbox-IP-firewall-filter-添加
这里如果是单线的话，就可以单独屏蔽掉一个外网网卡的ping数据，如果是双线网吧的话，就要再做一条filter，把另一条线路添加到禁ping设置中。方法与单线一样，只在InInterface中更改为另一条线路的硬件，如果内网也想禁Ping的话就再加一条，InInterface中添加为内网网卡。
这里如果是单线的话，就可以单独屏蔽掉一个外网网卡的ping数据，如果是双线网吧的话，就要再做一条filter，把另一条线路添加到禁ping设置中。方法与单线一样，只在InInterface中更改为另一条线路的硬件，如果内网也想禁Ping的话就再加一条，InInterface中添加为内网网卡。
这样你可以实验一下，外网已经无法Ping通您了，但是您的登陆仍然正常。
3.外网已经无法PING通了，那么该考虑考虑内网的问题了，有些想对您恶搞的人需要知道您的外网IP，这可怎么办，网络上能查询IP地址的网站层出不穷，但是具体的站点就只有几个，所以我们只要将这些站点的访问直接屏蔽掉，那么就可以增加您IP的隐藏性，不至于被有什么想法的人利用，恩恩，就这么办，针对这个我写了几条Filter，大家直接用这个导入ROS的话就可以屏蔽掉这些网站。
如果再发现那个网站可以查询IP的话直接就可以自己加上一条，然后将网址处的网址更改为您找到的网站域名，就可以了。
通过以上几种方法，我们就可以基本将外网的和内网的部分威胁去掉一部分。最后小编想要说的是，网吧网络安全要靠我们日常的维护，要不断加强防范，才能有效杜绝网络攻击。
怎样防范DDOS低流量攻击
这个问题，如果别人是固定的对你SYN那也没有其他的办法，只有找一个更好的硬件来抵挡，不知道你的ROS的设置是怎么设置的，对于此类攻击的策略设置好着没有，可以去上面去看看，
0条大神的评论