如何判斷伺服器網關攔截

A. 如何快速判斷伺服器是否遭受CC攻擊

CC攻擊有一定的隱蔽性，那如何確定伺服器正在遭受或者曾經遭受CC攻擊呢?可以通過以下三個方法來確定。

1、命令行法

一般遭受CC攻擊時，Web伺服器會出現80埠對外關閉的現象，因為這個埠已經被大量的垃圾數據堵塞了正常的連接被中止了。可以通過在命令行下輸入命令netstat-an來查看，SYN_RECEIVED是TCP連接狀態標志，意思是正在處於連接的初始同步狀態，表明無法建立握手應答處於等待狀態。這就是攻擊的特徵，一般情況下這樣的記錄一般都會有很多條，表示來自不同的代理IP的攻擊。

2、批處理法

上述方法需要手工輸入命令且如果Web伺服器IP連接太多看起來比較費勁，可以建立一個批處理文件，通過該腳本代碼確定是否存在CC攻擊。

腳本篩選出當前所有的到80埠的連接。當感覺伺服器異常時就可以雙擊運行該批處理文件，然後在打開的log.log文件中查看所有的連接。如果同一個IP有比較多的到伺服器的連接，那就基本可以確定該IP正在對伺服器進行CC攻擊。

3、查看系統日誌

web日誌一般在C:目錄下，該目錄下用類似httperr1.log的日誌文件，這個文件就是記錄Web訪問錯誤的記錄。管理員可以依據日誌時間屬性選擇相應的日誌打開進行分析是否Web被CC攻擊了。

默認情況下，web日誌記錄的項並不是很多，可以通過IIs進行設置，讓web日誌記錄更多的項以便進行安全分析。其操作步驟是：開始-管理工具打開Internet信息伺服器，展開左側的項定位到相應的Web站點，然後右鍵點擊選擇屬性打開站點屬性窗口，在網站選項卡下點擊屬性按鈕，在日誌記錄屬性窗口的高級選項卡下可以勾選相應的擴展屬性，以便讓Web日誌進行記錄。比如其中的發送的位元組數、接收的位元組數、所用時間這三項默認是沒有選中的，但在記錄判斷CC攻擊中是非常有用的，可以勾選。另外，如果你對安全的要求比較高，可以在常規選項卡下對新日誌計劃進行設置，讓其每小時或者每一天進行記錄。為了方便日後進行分析時好確定時間可以勾選文件命名和創建使用當地時間。

B. 網路正常，但是 ping 可能被防火牆或者網關禁止

看了樓上哥們說的免疫網路 我專門去找了一下 你那問題樓上分析的很正確！協議攻擊 和帶寬沒有被管理！

傳統網路和免疫網路

隨著信息化程度的提高，現在很多企業廣泛應用VOIP系統、OA系統、ERP系統等，用那種傳統的組網方
案，有些人在下載開一些與工作無關的網頁，VOIP無法做到語音清晰連貫、OA系統時常短暫失效、視頻難
以建立連接、重要信息輕易泄露，嚴重時整個網路掉下線，嚴重影響了工作，甚至個企業帶來巨大的業務
損失。

傳統網路——硬體路由+交換機+網線+PC組建成的一個網路，在路由器里做一些策略達到共享上網的目
的。

免疫牆網路——通過內網通訊協議（巡路）+免疫安全運營中心+終端上網驅動，將內網網關、
終端全部實現統一策略，統一管理，通過軟/硬體結合搭建一個穩定、安全、可靠的內網基礎網路平台。

現在組建企業網路猶如蓋房子，地基打牢固了，你才敢想蓋幾層就蓋幾層。企業網路也是這樣，只有
網路穩定了，網路的應用才會得到更好的施展。 底層都沒得到安全穩定，上面的應用肯定會「搖搖晃晃
」，應用受阻。

免疫網路的四大突出特點
傳統路由方案作為一款單一設備，解決不了企業網目前的問題。免疫牆方案通過四個方面緊緊管控整
個內網，達到比前二代路由方案更穩定、更高速、更安全、可管理的應用效果。
1、拓展到網路的最末端。免疫牆路由器對內網中的每一台終端進行管控，沒有免疫身份的終端不允許上
網，阻止了從內網終端發起的攻擊，並對內網終端進行行為策
略管理，與此同時保護每一台終端的安全，全面凈化網路環境。
2、深入到協議的最底層。免疫牆路由器對協議層的管理在路由器和終端網卡上同時展開。路由器的
協議管理從NAT開始進行，而上網驅動則安裝在每一個終端的網卡
驅動層。所有上網數據都必須要通過這層驅動，任何應用無一漏網。它能夠有效地防範ARP、IP分片、洪
水包等協議型病毒，精確調整每台終端的上網帶寬，管理P-P下載、
qq、游戲等上網行為。
3、盤查到外網的出入口。免疫牆路由器作為外網和內網連接的大門，是企業網的核心設備。不但有
高速的轉發效率，免疫牆路由器還強調對網關的保護和外網攻擊的
防範，它對來自內外網的ARP截獲網關數據攻擊，偽造IP等非法操作有先天免疫的能力。
4、總覽到內網的最全貌。免疫牆路由器提供了安裝到內網伺服器上的一套免疫監控中心。它能夠時
時刻刻監控全網每一台終端的運行狀況和路由器的工作過程，對包
括內外網流量、異常攻擊和被攻擊、特殊的數據格式等等內網中發生的狀況，按照要求及時攔截、記錄、
告警。監控中心與路由器和終端上網驅動三者聯動，全面掌控內網運
行，同時允許管理者進行內網終端的分組管理、帶寬動態分配、制定上網許可權、全網策略分發等工作。

電話：400—706—0518

C. 公司網路經常掉線,如何判斷是外網原因還是內網原因

先看下你的網關和DNS伺服器的地址是多少
然後 點 開始——運行——CMD
然後輸 ping xxx.xxx.xxx.xxx(網關地址) -t
如果返回的包是否正常，如果返回request times is out 說明掉了，不正常。
然後再ping DNS伺服器。

ping網關正常，pingDNS伺服器不正常。內網問題
ping網關不正常，那麼肯定pingDNS伺服器也不正常，內部區域網問題！

D. 網關、DNS通，外網不通(在線等！)

能ping通網關和內網，說明區域網至少是通的。可以排除網線和介面的故障。不能上網的原因有多方面的，但主要還都是設置上的問題。包括從IP地址、DNS地址、代理伺服器地址和埠號、防火牆設置等等。

不在現場，很多情況不了解，可以照以下方面檢查一下，不要著急。

1、檢查網路設置。
不知道你的IP地址、DNS地址是自動分配的，還是手動設置的。無論如何，首先確保這些設置都沒有問題。能ping通不代表你的設置是對的。

2、檢查你的電腦里各類防火牆的設置。
查查看是否存在屏蔽網路連接的設置。

3、上不了網，也有可能是被路由器屏蔽了，可能的話，換幾個IP地址試試看。

4、DNS的設置要找能上網的人看看，配置成相同的。有可能是DNS不能響應引起外網地址無法解析。

5、了解一下，網路中是否使用了代理伺服器，將代理伺服器的IP地址和埠號仔細檢查一下。

6、千萬不要著急，盡可能仔細的核對各項設置，保證設置的准確。

===========================================================

請教某高人，建議用"tracert www.xxx.com" 這個命令看一下，究竟是在哪個轉發環節被屏蔽了。

建議還是先檢查所有設置，然後依靠命令來檢查。不要完全依賴這些命令，網路故障里巨大多數失誤都是人為的。

E. 如何判斷伺服器IP是否被屏蔽

你想判斷伺服器IP被什麼屏蔽？

長城防火牆嗎？

最簡單的方法就是伺服器正常並且沒有屏蔽你本地IP，你在本地用SSH連接一下，如果本地鏈接不上，國外連接上，那就是被屏蔽了

沒有解決辦法

F. 怎麼測試電腦與網關及DNS伺服器的連接，並判斷結果

查看網路配置可以在cmd里用ipconfig/all命令
電信等運營商里的DNS伺服器很多都是禁ping的，最好的方法是在cmd里用nslookup檢查域名能不能成功解析，如nslookup .com檢查是否能用DNS解析網路的域名

G. 如何通過HTTP狀態判斷伺服器運營狀態

HTTP狀態碼(HTTP Status Code)是用以表示網頁伺服器HTTP響應狀態的3位數字代碼。它由 RFC 2616 規范定義的，並得到RFC 2518、RFC 2817、RFC 2295、RFC 2774、RFC 4918等規范擴展。

所有狀態碼的第一個數字代表了響應的五種狀態之一。

1xx 消息

這一類型的狀態碼，代表請求已被接受，需要繼續處理。這類響應是臨時響應，只包含狀態行和某些可選的響應頭信息，並以空行結束。由於 HTTP/1.0 協議中沒有定義任何 1xx 狀態碼，所以除非在某些試驗條件下，伺服器禁止向此類客戶端發送 1xx 響應。

100 Continue

客戶端應當繼續發送請求。這個臨時響應是用來通知客戶端它的部分請求已經被伺服器接收，且仍未被拒絕。客戶端應當繼續發送請求的剩餘部分，或者如果請求已經完成，忽略這個響應。伺服器必須在請求完成後向客戶端發送一個最終響應。

101 Switching Protocols

伺服器已經理解了客戶端的請求，並將通過 Upgrade 消息頭通知客戶端採用不同的協議來完成這個請求。在發送完這個響應最後的空行後，伺服器將會切換到在 Upgrade 消息頭中定義的那些協議。

只有在切換新的協議更有好處的時候才應該採取類似措施。例如，切換到新的 HTTP 版本比舊版本更有優勢，或者切換到一個實時且同步的協議以傳送利用此類特性的資源。

102 Processing

由WebDAV(RFC 2518)擴展的狀態碼，代表處理將被繼續執行。

2xx 成功

這一類型的狀態碼，代表請求已成功被伺服器接收、理解、並接受。

200 OK

請求已成功，請求所希望的響應頭或數據體將隨此響應返回。

201 Created

請求已經被實現，而且有一個新的資源已經依據請求的需要而建立，且其 URI 已經隨 Location 頭信息返回。假如需要的資源無法及時建立的話，應當返回 '202 Accepted'。

202 Accepted

伺服器已接受請求，但尚未處理。正如它可能被拒絕一樣，最終該請求可能會也可能不會被執行。在非同步操作的場合下，沒有比發送這個狀態碼更方便的做法了。

返回202狀態碼的響應的目的是允許伺服器接受其他過程的請求(例如某個每天只執行一次的基於批處理的操作)，而不必讓客戶端一直保持與伺服器的連接直到批處理操作全部完成。在接受請求處理並返回202狀態碼的響應應當在返回的實體中包含一些指示處理當前狀態的信息，以及指向處理狀態監視器或狀態預測的指針，以便用戶能夠估計操作是否已經完成。

203 Non-Authoritative Information

伺服器已成功處理了請求，但返回的實體頭部元信息不是在原始伺服器上有效的確定集合，而是來自本地或者第三方的拷貝。當前的信息可能是原始版本的子集或者超集。例如，包含資源的元數據可能導致原始伺服器知道元信息的超級。使用此狀態碼不是必須的，而且只有在響應不使用此狀態碼便會返回200 OK的情況下才是合適的。

204 No Content

伺服器成功處理了請求，但不需要返回任何實體內容，並且希望返回更新了的元信息。響應可能通過實體頭部的形式，返回新的或更新後的元信息。如果存在這些頭部信息，則應當與所請求的變數相呼應。

如果客戶端是瀏覽器的話，那麼用戶瀏覽器應保留發送了該請求的頁面，而不產生任何文檔視圖上的變化，即使按照規范新的或更新後的元信息應當被應用到用戶瀏覽器活動視圖中的文檔。

由於204響應被禁止包含任何消息體，因此它始終以消息頭後的第一個空行結尾。

205 Reset Content

伺服器成功處理了請求，且沒有返回任何內容。但是與204響應不同，返回此狀態碼的響應要求請求者重置文檔視圖。該響應主要是被用於接受用戶輸入後，立即重置表單，以便用戶能夠輕松地開始另一次輸入。

與204響應一樣，該響應也被禁止包含任何消息體，且以消息頭後的第一個空行結束。

206 Partial Content

伺服器已經成功處理了部分 GET 請求。類似於 FlashGet 或者迅雷這類的 HTTP 下載工具都是使用此類響應實現斷點續傳或者將一個大文檔分解為多個下載段同時下載。

該請求必須包含 Range 頭信息來指示客戶端希望得到的內容範圍，並且可能包含 If-Range 來作為請求條件。

響應必須包含如下的頭部域：

Content-Range 用以指示本次響應中返回的內容的范圍;如果是 Content-Type 為 multipart/byteranges 的多段下載，則每一 multipart 段中都應包含 Content-Range 域用以指示本段的內容範圍。假如響應中包含 Content-Length，那麼它的數值必須匹配它返回的內容範圍的真實位元組數。

Date

ETag 和/或 Content-Location，假如同樣的請求本應該返回200響應。

Expires, Cache-Control，和/或 Vary，假如其值可能與之前相同變數的其他響應對應的值不同的話。

假如本響應請求使用了 If-Range 強緩存驗證，那麼本次響應不應該包含其他實體頭;假如本響應的請求使用了 If-Range 弱緩存驗證，那麼本次響應禁止包含其他實體頭;這避免了緩存的實體內容和更新了的實體頭信息之間的不一致。否則，本響應就應當包含所有本應該返回200響 應中應當返回的所有實體頭部域。

假如 ETag 或 Last-Modified 頭部不能精確匹配的話，則客戶端緩存應禁止將206響應返回的內容與之前任何緩存過的內容組合在一起。

任何不支持 Range 以及 Content-Range 頭的緩存都禁止緩存206響應返回的內容。

207 Multi-Status

由WebDAV(RFC 2518)擴展的狀態碼，代表之後的消息體將是一個XML消息，並且可能依照之前子請求數量的不同，包含一系列獨立的響應代碼。

3xx 重定向

這類狀態碼代表需要客戶端採取進一步的操作才能完成請求。通常，這些狀態碼用來重定向，後續的請求地址(重定向目標)在本次響應的 Location 域中指明。

當且僅當後續的請求所使用的方法是 GET 或者 HEAD 時，用戶瀏覽器才可以在沒有用戶介入的情況下自動提交所需要的後續請求。客戶端應當自動監測無限循環重定向(例如：A->A，或者A->B->C->A)，因為這會導致伺服器和客戶端大量不必要的資源消耗。按照 HTTP/1.0 版規范的建議，瀏覽器不應自動訪問超過5次的重定向。

300 Multiple Choices

被請求的資源有一系列可供選擇的回饋信息，每個都有自己特定的地址和瀏覽器驅動的商議信息。用戶或瀏覽器能夠自行選擇一個首選的地址進行重定向。

除非這是一個 HEAD 請求，否則該響應應當包括一個資源特性及地址的列表的實體，以便用戶或瀏覽器從中選擇最合適的重定向地址。這個實體的格式由 Content-Type 定義的格式所決定。瀏覽器可能根據響應的格式以及瀏覽器自身能力，自動作出最合適的選擇。當然，RFC 2616規范並沒有規定這樣的自動選擇該如何進行。

如果伺服器本身已經有了首選的回饋選擇，那麼在 Location 中應當指明這個回饋的 URI;瀏覽器可能會將這個 Location 值作為自動重定向的地址。此外，除非額外指定，否則這個響應也是可緩存的。

301 Moved Permanently

被請求的資源已永久移動到新位置，並且將來任何對此資源的引用都應該使用本響應返回的若干個 URI 之一。如果可能，擁有鏈接編輯功能的客戶端應當自動把請求的地址修改為從伺服器反饋回來的地址。除非額外指定，否則這個響應也是可緩存的。

新的永久性的 URI 應當在響應的 Location 域中返回。除非這是一個 HEAD 請求，否則響應的實體中應當包含指向新的 URI 的超鏈接及簡短說明。

如果這不是一個 GET 或者 HEAD 請求，因此瀏覽器禁止自動進行重定向，除非得到用戶的確認，因為請求的條件可能因此發生變化。

注意：對於某些使用 HTTP/1.0 協議的瀏覽器，當它們發送的 POST 請求得到了一個301響應的話，接下來的重定向請求將會變成 GET 方式。

302 Found

請求的資源現在臨時從不同的 URI 響應請求。由於這樣的重定向是臨時的，客戶端應當繼續向原有地址發送以後的請求。只有在Cache-Control或Expires中進行了指定的情況下，這個響應才是可緩存的。

新的臨時性的 URI 應當在響應的 Location 域中返回。除非這是一個 HEAD 請求，否則響應的實體中應當包含指向新的 URI 的超鏈接及簡短說明。

如果這不是一個 GET 或者 HEAD 請求，那麼瀏覽器禁止自動進行重定向，除非得到用戶的確認，因為請求的條件可能因此發生變化。

注意：雖然RFC 1945和RFC 2068規范不允許客戶端在重定向時改變請求的方法，但是很多現存的瀏覽器將302響應視作為303響應，並且使用 GET 方式訪問在 Location 中規定的 URI，而無視原先請求的方法。狀態碼303和307被添加了進來，用以明確伺服器期待客戶端進行何種反應。

303 See Other

對應當前請求的響應可以在另一個 URI 上被找到，而且客戶端應當採用 GET 的方式訪問那個資源。這個方法的存在主要是為了允許由腳本激活的POST請求輸出重定向到一個新的資源。這個新的 URI 不是原始資源的替代引用。同時，303響應禁止被緩存。當然，第二個請求(重定向)可能被緩存。

新的 URI 應當在響應的 Location 域中返回。除非這是一個 HEAD 請求，否則響應的實體中應當包含指向新的 URI 的超鏈接及簡短說明。

注意：許多 HTTP/1.1 版以前的 瀏覽器不能正確理解303狀態。如果需要考慮與這些瀏覽器之間的互動，302狀態碼應該可以勝任，因為大多數的瀏覽器處理302響應時的方式恰恰就是上述規范要求客戶端處理303響應時應當做的。

304 Not Modified

如果客戶端發送了一個帶條件的 GET 請求且該請求已被允許，而文檔的內容(自上次訪問以來或者根據請求的條件)並沒有改變，則伺服器應當返回這個狀態碼。304響應禁止包含消息體，因此始終以消息頭後的第一個空行結尾。

該響應必須包含以下的頭信息：

Date，除非這個伺服器沒有時鍾。假如沒有時鍾的伺服器也遵守這些規則，那麼代理伺服器以及客戶端可以自行將 Date 欄位添加到接收到的響應頭中去(正如RFC 2068中規定的一樣)，緩存機制將會正常工作。

ETag 和/或 Content-Location，假如同樣的請求本應返回200響應。

Expires, Cache-Control，和/或 Vary，假如其值可能與之前相同變數的其他響應對應的值不同的話。

假如本響應請求使用了強緩存驗證，那麼本次響應不應該包含其他實體頭;否則(例如，某個帶條件的 GET 請求使用了弱緩存驗證)，本次響應禁止包含其他實體頭;這避免了緩存了的實體內容和更新了的實體頭信息之間的不一致。

假如某個304響應指明了當前某個實體沒有緩存，那麼緩存系統必須忽視這個響應，並且重復發送不包含限制條件的請求。

假如接收到一個要求更新某個緩存條目的304響應，那麼緩存系統必須更新整個條目以反映所有在響應中被更新的欄位的值。

305 Use Proxy

被請求的資源必須通過指定的代理才能被訪問。 Location 域中將給出指定的代理所在的 URI 信息，接收者需要重復發送一個單獨的請求，通過這個代理才能訪問相應資源。只有原始伺服器才能建立305響應。

注意：RFC 2068中沒有明確305響應是為了重定向一個單獨的請求，而且只能被原始伺服器建立。忽視這些限制可能導致嚴重的安全後果。

306 Switch Proxy

在最新版的規范中，306狀態碼已經不再被使用。

307 Temporary Redirect

請求的資源現在臨時從不同的 URI 響應請求。由於這樣的重定向是臨時的，客戶端應當繼續向原有地址發送以後的請求。只有在Cache-Control或Expires中進行了指定的情況下，這個響應才是可緩存的。

新的臨時性的 URI 應當在響應的 Location 域中返回。除非這是一個 HEAD 請求，否則響應的實體中應當包含指向新的 URI 的超鏈接及簡短說明。因為部分瀏覽器不能識別307響應，因此需要添加上述必要信息以便用戶能夠理解並向新的 URI 發出訪問請求。

如果這不是一個 GET 或者 HEAD 請求，那麼瀏覽器禁止自動進行重定向，除非得到用戶的確認，因為請求的條件可能因此發生變化。

H. 如何檢查linux伺服器的埠是否被防火牆擋住

telnet 127.0.0.1 5566 遠程 telnet 8.8.8.8 5566 關閉防火牆再測試對比下

I. 被網關伺服器攻擊怎麼辦求解決我可以攔截但是要怎麼辦攻擊他了是區域網的

如果經常被攻擊，為什麼不換一台帶高防的伺服器，換一台高防的你就不用考慮這些問題了，我以前也是被各種ddos，我這邊只要受到攻擊那邊機房就會關掉，搞的我天天煩死，最後換了一家穩定的帶高防的伺服器，現在好多了