嵌入式Ignite端口遭DoS攻击触发Direct buffer memory溢出如何解决

该异常是DoS攻击时短时间产生大量TCP请求命中Ignite监听端口，Ignite的TcpCommunicationSpi会为每个新连接分配直接内存缓冲区，请求量超过直接内存容量上限后触发内存溢出，最终导致节点崩溃。

• 调整JVM直接内存配置
  适当调大JVM最大直接内存参数，推荐设置为堆内存的1~2倍，示例配置如下：

  -XX:MaxDirectMemorySize=16G
  

  注意配置值不要超过节点可用物理内存上限，避免触发系统OOM killer。

• 配置Ignite连接阈值限制
  给TcpCommunicationSpi增加并发连接数、空闲连接超时限制，从应用层拦截超限请求，示例配置：

  TcpCommunicationSpi commSpi = new TcpCommunicationSpi();
  // 限制单节点最大并发连接数，可根据业务实际容量调整
  commSpi.setMaxConnections(1024);
  // 空闲连接30秒自动释放，避免无效连接占用内存
  commSpi.setIdleConnectionTimeout(30000);
  igniteCfg.setCommunicationSpi(commSpi);
  

• 优化故障处理逻辑
  调整Ignite失败处理器配置，出现严重错误时优先尝试优雅重启节点，降低业务影响：

  // 配置错误后尝试停止节点，超时5秒则强制终止
  igniteCfg.setFailureHandler(new StopNodeOrHaltFailureHandler(true, 5000));
  

• 网络层前置防护
  在节点前置网关或操作系统层面配置访问控制，比如用iptables限制单个IP的每秒新建连接数，仅允许集群内授信IP访问Ignite的通信、发现端口，从流量入口拦截攻击请求。

• 优化直接内存回收效率
  升级JDK到8u202以上版本，避免已知的直接内存回收bug，可搭配开启-XX:+DisableExplicitGC参数减少不必要的GC对直接内存回收的影响。

内容的提问来源于stack exchange，提问作者biandeqiang