Google App Engine 和 dos.xml

Question

我的理解是，唯一真正减轻DDoS攻击的方法是自动化黑名单IP地址/范围的过程。

Google应用引擎（GAE）允许您配置和上传一个dos.xml文件，并指定要在任何给定时间列入黑名单的IP地址/范围。

显然，如果我的Web应用程序正在遭受精心策划的DDoS攻击，攻击我的IP地址/范围将不断变化。

GAE允许我多久更新一次dos.xml？更改需要多长时间才能生效？我之所以问这个问题，是因为我正在设计一个AutoBlacklister系统，它检查它认为是攻击者的IP地址，并会动态更新dos.xml。如果有超过100个攻击者（GAE限制您使用100个地址/范围），则只有前100个“最严重的罪犯”将列入列表。

但是，如果dos.xml只能以一定的周期性进行更新（例如每天一次等），并且如果它需要太长时间（超过几分钟！）才能生效，则该系统对于真正的DDoS基本上没有用处。

此外，这个问题假设有一种方法可以自动上传dos.xml：有吗？我想象中有一个安全的URL，我可以上传文件并使用类似HttpClient的东西，但是在GAE中，您永远不知道将面临什么样的条款/限制！提前感谢您！

- IAmYourFaja

---

虽然不是完全相关的，但为了可能节省一些以后的疑难排除，文档指出应该使用dos.xml而不是ddos.xml。 - Jon Newmuis

谢谢指出（+1）-原帖已更新。 - IAmYourFaja

值得一提的是，新发布的GAE防火墙支持通过（REST）管理API进行防火墙规则的编程更新：https://cloud.google.com/appengine/docs/admin-api/reference/rest/v1beta/apps.firewall.ingressRules。 - Dan Cornilescu

Answer 1

您可以通过AppCfg更新dos.xml。可以在不进行完整服务器重新部署的情况下更新此文件，这是一个昂贵的过程。据我所知，对于此更新没有频率限制。

完整的部署有一个限制，在此处进行了描述：这里：

应用程序由开发人员上传的次数。 当前配额为每天1,000次。

- Mike Kwan

Answer 2

黑名单IP并不能完全防御DDoS攻击，因为：

A.) 僵尸网络DDoS攻击会使用合法IP（例如，木马僵尸网络），这种情况下，IP屏蔽也会阻止合法用户的访问。

B.) 这对于网络DDoS攻击（例如SYN Flood）完全无效——这种攻击使用伪造的IP地址，甚至不需要建立完整的双向连接即可实现DDoS攻击（要想阻止这种攻击，你需要有某种前置反向代理来防止接入，直到建立完整的双向连接并收到ACK。）

为了获得完整的DDoS保护，您需要拥有足够大的“管道”，要么通过投资硬件（成本过高，通常不划算），要么通过前置反向代理解决方案来平衡额外的流量，同时使您保持完全运营（例如云代理）。

- Igal Zeifman

---

谷歌是否会采取措施防止请求首先到达应用程序？ - Jason Hall

不是100%确定。我知道他们允许更新，但不熟悉他们的内部防范政策。我想自己了解更多。 - Igal Zeifman