7.6. 限制用户会话和内存以防止 DoS 攻击

通过更改对应的 systemd 配置来限制 Web 控制台服务的用户会话和内存消耗。这个措施有助于降低 cockpit-ws Web 服务器上的拒绝服务(DoS)攻击的风险。

证书验证被分离和隔离 cockpit-ws Web 服务器的实例保护，使其免受要模拟其他用户的攻击者的攻击。但是，这可能会引入潜在的 DoS 攻击：远程攻击者可以创建大量证书，并将大量 HTTPS 请求发送到 cockpit-ws 各自使用不同的证书。

为防止此类 DoS 攻击，这些 Web 服务器实例的集体资源是有限的。默认情况下，对连接和内存用量的限制被设置为 200 个线程，75 % 设为软限制或 90 % 作为硬限制。

示例流程通过限制连接数量和分配内存量来演示资源保护。

流程

在终端中，打开 system-cockpithttps.slice 配置文件：
```
# systemctl edit system-cockpithttps.slice
```

将 TasksMax 限制为 100，将 CPUQuota 限制为 30% ：

[Slice]
# change existing value
TasksMax=100
# add new restriction
CPUQuota=30%

要应用这些更改，请重启系统：

# systemctl daemon-reload
# systemctl stop cockpit