如何避免 SYN 攻击？

chirrupy_hamal2025-07-05 18:42

文章目录

[一、增大 TCP 半连接队列](#一、增大 TCP 半连接队列)
- 引申问题
[二、减少 SYN+ACK 重传次数](#二、减少 SYN+ACK 重传次数)
[三、开启 tcp_syncookies](#三、开启 tcp_syncookies)

什么是 SYN 攻击？

一、增大 TCP 半连接队列

增大 TCP 半连接队列，需要同时增大三个参数：

/proc/sys/net/ipv4/tcp_max_syn_backlog
/proc/sys/net/core/somazconn
listen() 函数的 backlog 参数

引申问题

为什么要同时增大这三个参数？详见TCP 半连接队列和全连接队列详解(结合 Linux 2.6.32 内核源码分析)

二、减少 SYN+ACK 重传次数

服务端受到 SYN 攻击时，会有大量处于 SYN_RCVD 状态的 TCP 连接，处于该状态的 TCP 会重传 SYN+ACK 报文，重传 tcp_synack_retries 次后，就会断开连接，我们可以通过减少 SYN+ACK 报文的重传次数，加快断开处于 SYN_RCVD 状态的 TCP 连接

三、开启 tcp_syncookies

我们先来看下 Linux 内核的「SYN 队列」和「Accept 队列」是如何工作的？

开启 tcp_syncookies，可以在不使用「SYN 队列」的情况下建立 TCP 连接

「SYN 队列」满了的情况下，服务端不会丢弃后续收到的 SYN 报文，而是根据算法计算出 cookie 值，将其填入 TCP 首部的「序列号」字段后发送 SYN+ACK 报文给客户端
服务端收到客户端的 ACK 报文后，会检查其合法性，如果合法，将该连接放入「Accept 队列」中，最后应用程序通过调用 accpet() 接口从「Accept 队列」取出连接

/proc/sys/net/ipv4/tcp_syncookies 主要有三个值：

0：关闭该功能
1：「SYN 队列」放不下时，启用该功能
2：无条件启用该功能