服务行业有权拒绝服务吗 -法律知识
法律分析:
服务于被服务是一种民事活动,要遵守双方平等自愿的原则,也就是说商家不能强制消费者消费,消费者也不能强制商家提供消费服务,因此商家是可以拒绝消费者消费,但一般应有合法正当的理由。
法律依据:
《中华人民共和国消费者权益保护法》 第三十七条 消费者协会履行下列公益性职责:
(一)向消费者提供消费信息和咨询服务,提高消费者维护自身合法权益的能力,引导文明、健康、节约资源和保护环境的消费方式(二)参与制定有关消费者权益的法律、法规、规章和强制性标准(三)参与有关行政部门对商品和服务的监督、检查(四)就有关消费者合法权益的问题,向有关部门反映、查询,提出建议(五)受理消费者的投诉,并对投诉事项进行调查、调解(六)投诉事项涉及商品和服务质量问题的,可以委托具备资格的鉴定人鉴定,鉴定人应当告知鉴定意见(七)就损害消费者合法权益的行为,支持受损害的消费者提起诉讼或者依照本法提起诉讼(八)对损害消费者合法权益的行为,通过大众传播媒介予以揭露、批评。各级人民政府对消费者协会履行职责应当予以必要的经费等支持。消费者协会应当认真履行保护消费者合法权益的职责,听取消费者的意见和建议,接受社会监督。依法成立的其他消费者组织依照法律、法规及其章程的规定,开展保护消费者合法权益的活动。
服务行业有权拒绝服务吗?
法律分析:
服务于被服务是一种民事活动,要遵守双方平等自愿的原则,也就是说商家不能强制消费者消费,消费者也不能强制商家提供消费服务,因此商家是可以拒绝消费者消费,但一般应有合法正当的理由。
法律依据:
《中华人民共和国消费者权益保护法》 第三十七条 消费者协会履行下列公益性职责:
(一)向消费者提供消费信息和咨询服务,提高消费者维护自身合法权益的能力,引导文明、健康、节约资源和保护环境的消费方式(二)参与制定有关消费者权益的法律、法规、规章和强制性标准(三)参与有关行政部门对商品和服务的监督、检查(四)就有关消费者合法权益的问题,向有关部门反映、查询,提出建议(五)受理消费者的投诉,并对投诉事项进行调查、调解(六)投诉事项涉及商品和服务质量问题的,可以委托具备资格的鉴定人鉴定,鉴定人应当告知鉴定意见(七)就损害消费者合法权益的行为,支持受损害的消费者提起诉讼或者依照本法提起诉讼(八)对损害消费者合法权益的行为,通过大众传播媒介予以揭露、批评。各级人民政府对消费者协会履行职责应当予以必要的经费等支持。消费者协会应当认真履行保护消费者合法权益的职责,听取消费者的意见和建议,接受社会监督。依法成立的其他消费者组织依照法律、法规及其章程的规定,开展保护消费者合法权益的活动。
用路由器防止DoS拒绝服务疯狂攻击的方法
拒绝服务(DoS)攻击是目前黑客广泛使用的一种攻击手段,它通过独占网络资源、使其他主机不能进行正常访问,从而导致宕机或网络瘫痪。 DoS攻击主要分为Smurf、SYNFlood和Fraggle三种,在Smurf攻击中,攻击者使用ICMP数据包阻塞服务器和其他网络资源;SYNFlood攻击使用数量巨大的TCP半连接来占用网络资源;Fraggle攻击与Smurf攻击原理类似,使用UDPecho请求而不是ICMPecho请求发起攻击。 尽管网络安全专家都在着力开发阻止DoS攻击的设备,但收效不大,因为DoS攻击利用了TCP协议本身的弱点。正确配置路由器能够有效防止DoS攻击。以Cisco路由器为例,Cisco路由器中的IOS软件具有许多防止DoS攻击的特性,保护路由器自身和内部网络的安全。 使用扩展访问列表 扩展访问列表是防止DoS攻击的有效工具。它既可以用来探测DoS攻击的类型,也可以阻止DoS攻击。ShowIPaccess-list命令能够显示每个扩展访问列表的匹配数据包,根据数据包的类型,用户就可以确定DoS攻击的种类。如果网络中出现了大量建立TCP连接的请求,这表明网络受到了SYNFlood攻击,这时用户就可以改变访问列表的配置,阻止DoS攻击。 使用QoS 使用服务质量优化(QoS)特征,如加权公平队列(WFQ)、承诺访问速率(CAR)、一般流量整形(GTS)以及定制队列(CQ)等,都可以有效阻止DoS攻击。需要注意的是,不同的QoS策略对付不同DoS攻击的效果是有差别的。例如,WFQ对付PingFlood攻击要比防止SYNFlood攻击更有效,这是因为PingFlood通常会在WFQ中表现为一个单独的传输队列,而SYNFlood攻击中的每一个数据包都会表现为一个单独的数据流。此外,人们可以利用CAR来限制ICMP数据包流量的速度,防止Smurf攻击,也可以用来限制SYN数据包的流量速度,防止SYNFlood攻击。使用QoS防止DoS攻击,需要用户弄清楚QoS以及DoS攻击的原理,这样才能针对DoS攻击的不同类型采取相应的'防范措施。 使用单一地址逆向转发 逆向转发(RPF)是路由器的一个输入功能,该功能用来检查路由器接口所接收的每一个数据包。如果路由器接收到一个源IP地址为10.10.10.1的数据包,但是CEF(CiscoExpressForwarding)路由表中没有为该IP地址提供任何路由信息,路由器就会丢弃该数据包,因此逆向转发能够阻止Smurf攻击和其他基于IP地址伪装的攻击。 使用RPF功能需要将路由器设为快速转发模式(CEFswitching),并且不能将启用RPF功能的接口配置为CEF交换。RPF在防止IP地址欺骗方面比访问列表具有优势,首先它能动态地接受动态和静态路由表中的变化;第二RPF所需要的操作维护较少;第三RPF作为一个反欺骗的工具,对路由器本身产生的性能冲击,要比使用访问列表小得多。 使用TCP拦截 Cisco在IOS11.3版以后,引入了TCP拦截功能,这项功能可以有效防止SYNFlood攻击内部主机。 在TCP连接请求到达目标主机之前,TCP拦截通过拦截和验证来阻止这种攻击。TCP拦截可以在拦截和监视两种模式下工作。在拦截模式下,路由器拦截到达的TCP同步请求,并代表服务器建立与客户机的连接,如果连接成功,则代表客户机建立与服务器的连接,并将两个连接进行透明合并。在整个连接期间,路由器会一直拦截和发送数据包。对于非法的连接请求,路由器提供更为严格的对于half-open的超时限制,以防止自身的资源被SYN攻击耗尽。在监视模式下,路由器被动地观察流经路由器的连接请求,如果连接超过了所配置的建立时间,路由器就会关闭此连接。 在Cisco路由器上开启TCP拦截功能需要两个步骤:一是配置扩展访问列表,以确定需要保护的IP地址;二是开启TCP拦截。配置访问列表是为了定义需要进行TCP拦截的源地址和目的地址,保护内部目标主机或网络。在配置时,用户通常需要将源地址设为any,并且指定具体的目标网络或主机。如果不配置访问列表,路由器将会允许所有的请求经过。 使用基于内容的访问控制 基于内容的访问控制(CBAC)是对Cisco传统访问列表的扩展,它基于应用层会话信息,智能化地过滤TCP和UDP数据包,防止DoS攻击。 CBAC通过设置超时时限值和会话门限值来决定会话的维持时间以及何时删除半连接。对TCP而言,半连接是指一个没有完成三阶段握手过程的会话。对UDP而言,半连接是指路由器没有检测到返回流量的会话。 CBAC正是通过监视半连接的数量和产生的频率来防止洪水攻击。每当有不正常的半连接建立或者在短时间内出现大量半连接的时候,用户可以判断是遭受了洪水攻击。CBAC每分钟检测一次已经存在的半连接数量和试图建立连接的频率,当已经存在的半连接数量超过了门限值,路由器就会删除一些半连接,以保证新建立连接的需求,路由器持续删除半连接,直到存在的半连接数量低于另一个门限值;同样,当试图建立连接的频率超过门限值,路由器就会采取相同的措施,删除一部分连接请求,并持续到请求连接的数量低于另一个门限值。通过这种连续不断的监视和删除,CBAC可以有效防止SYNFlood和Fraggle攻击。 路由器是企业内部网络的第一道防护屏障,也是黑客攻击的一个重要目标,如果路由器很容易被攻破,那么企业内部网络的安全也就无从谈起,因此在路由器上采取适当措施,防止各种DoS攻击是非常必要的。用户需要注意的是,以上介绍的几种方法,对付不同类型的DoS攻击的能力是不同的,对路由器CPU和内存资源的占用也有很大差别,在实际环境中,用户需要根据自身情况和路由器的性能来选择使用适当的方式。
如何利用路由器防止DoS拒绝服务疯狂攻击
它是一种滥用资源性的攻击,目的就是利用自身的资源通过一种放大或不对等的方式来达到消耗对方资源的目的。同一时刻很多不同的IP对服务器进行访问造成服务器的服务失效甚至死机。(1)网站的数据流量突然超出平常的十几倍甚至上百倍,而且同时到达网站的数据包分别来自大量不同的IP。(2)大量到达的数据包(包括TCP包和UDP包)并不是网站服务连接的一部分,往往指向你机器任意的端口。比如你的网站是Web服务器,而数据包却发向你的FTP端口或其它任意的端口。2、BAN IP地址法确定自己受到攻击后就可以使用简单的屏蔽IP的方法将DOS攻击化解。对于DOS攻击来说这种方法非常有效,因为DOS往往来自少量IP地址,而且这些IP地址都是虚构的伪装的。在服务器或路由器上屏蔽攻击者IP后就可以有效的防范DOS的攻击。不过对于DDOS来说则比较麻烦,需要我们对IP地址分析,将真正攻击的IP地址屏蔽。不论是对付DOS还是DDOS都需要我们在服务器上安装相应的防火墙,然后根据防火墙的日志分析来访者的IP,发现访问量大的异常IP段就可以添加相应的规则到防火墙中实施过滤了。当然直接在服务器上过滤会耗费服务器的一定系统资源,所以目前比较有效的方法是在服务器上通过防火墙日志定位非法IP段,然后将过滤条目添加到路由器上。例如我们发现进行DDOS攻击的非法IP段为211.153.0.0 255.255.0.0,而服务器的地址为61.153.5.1。那么可以登录公司核心路由器添加如下语句的访问控制列表进行过滤。cess-list 108 deny tcp 211.153.0.0 0.0.255.255 61.135.5.1 0.0.0.0这样就实现了将211.153.0.0 255.255.0.0的非法IP过滤的目的。小提示:在访问控制列表中表示子网掩码需要使用反向掩码,也就是说0.0.255.255表示子网掩码为255.255.0.0。