哈，我都不敢说了，上次说 nghttpx 快，现在一过 20:00 TLs1.2 都没流量。。。

。。。放着计划任务不用。

普通环境就开机批处理加载 at 实际上终止计划任务仍然运行不了 at 。

https://www.v2ex.com/t/235392
http://linuxmantra.com/2010/06/how-to-stop-syn-flood-attack-using-iptables.html
ddos 不是 iptables 防得住的，以前就拿到一个 ip 可能前人把它做成 dns 服务器， iptables drop 53 端口还是收到警告邮件，最后只能换 ip ，这日志也交待不清是别人 ddos 服务器，还是服务器 ddos 别人。

倒是经常用 stunnel ，按实例的话它都能把 google tcp 53 加密到本地，不知道 tcp 80 是否可行。然后它的 verify 3 就是用来对客户端证书进行认证用的，只是看起来还是不如浏览器方便。

这个网站还活着 www.cn-dos.net

批处理这东西比 shell 难多了。。。一点都没 shell 好用，经常想破脑袋，最后算了还是看看有什么 windows 版的 gnu 工具。

这个最好具备 iptables 相关知识，很多教程不知道防火墙设置就教人关掉 iptables 大错特错。好像很多人用的 fail2ban 还什么来着，其实 iptables 的 recent 模块就可以定义一些常见扫描端口，有人扫就马上 drop 。去 linux 版看看吧，那里有个常见的 state 状态的防火墙规则默认 DROP 只开放必要端口。上面的两步基本一个人用没问题。
前几天 ip 一公布就被系统判定有高达 30000 个并发和你这描述不大一样，小打小闹的话可以搜一下 hashlimit syn flood 。目前就弄了这三步，等待新情况。

电信普通线路，晚高峰现在一个比较让人可以安慰的答案是人多路拥挤。

从论坛反应的情况，晚高峰似乎除了 CN2,大多数的 vps 都没什么特别，要吗就是前段时间很 ok ，这段时间就废了。通过./speedtest-cli 测试看起来服务器也没限速，国内的电信基本下行速度在 300kb/s 左右。
平时在工作中防止拥塞的解决方法要吗对 ip 进行限速，要吗对 ip 实行并发限制，这些都是有效的抑制流量的方法。每天总感觉很准时的，真的基本就差不多那个点流量就上不去。今天晚上 20:00 以前 udp 流量竟然达到 4000kbps ， tcp 流量当然很废了，可是过了 20:00 以后基本连 udp 也废了。

目前通过 iperf 测试可以准确得测得 vps 到家里 ip 的上行流量，但是具体，到底是什么原因测不出来，按平时工作的经验来看铁定是电信限速了，至于它的限速 tcp reset 是很常见了，是否也连带并发限制，不知道该用什么工具测试，反正电信网络基本是没什么希望了， 2006 年都高瞻远瞩提出 CN2 是增值业务，它当然有必要技术上做出差异。。。都是怀疑，猜测。。。
http://www.cnblogs.com/feisky/archive/2011/11/12/2246626.html

做为公共服务器要考虑太多问题了，原先自己一个人用时只做了端口扫描防护 1 年下来也没问题，做公共服务器就考虑限制流量，结果被 ddos ，现在又布置了一些并发限制。像这种情况，没有日志记录系统的话，只能背黑锅了。

这不成了潜规则了，这种所谓的老板往往有剥削劳动力的嫌疑，听着就像使用童工一样。

用关键词搜了一下 conoha 晚上 慢，马上没有购买想法，有没有谁家的在晚上 20:00 还能保证高速的，现在的 vps 不是不快是电信下手太慢。

这个答不上来，上次倒是安装过一次 libev 版本的 ss ，实际效果不怎么好啊，表现为高峰会限制在大概 600kbps 左右，不像其它工具基本没有上浮的感觉。好像说是 python 版本的要快很多。以前用的工具都是基于 tcp 协议的，由于 net_speeder 会有抑制网速的效果大概在 300kb/s 左右，如果开启 ip 加速的话， ocserv 流量大概会维持在 100kb/s 。现在只加速 tcp ，既能保障以往的工具正常使用，又能让唯一一个基于 udp 的 ocserv 速度不被限制。
哈，还是回答不清楚。。。 udp 相对 tcp 有天生的传输效率优势，可惜没再找到其它的基于 DTLS 加密的工具， google 有个 quic ，可惜用不了。

https://www.chromium.org/quic