Linux 防范SYN Flood攻击

背景知识

在网络安全领域，SYN Flood攻击是一种常见的拒绝服务攻击（DoS）。攻击者通过发送大量的伪造TCP连接请求（SYN packets），导致受害服务器的半连接队列迅速填满，从而无法处理合法的连接请求。

当前TCP端口状态分析

使用以下命令可以获取服务器的TCP端口状态，这对于评估潜在的SYN Flood攻击风险至关重要。

[root@master ~]# netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'

该命令利用awk文本处理工具，对netstat -n命令的输出进行分析，提取出每种TCP连接状态的数量。

TCP端口状态描述

在TCP/IP协议中，TCP连接状态描述了TCP连接在建立、数据传输和终止过程中的不同阶段。以下是这些状态的详细介绍：

1. CLOSED：表示当前没有连接活动。这是连接的初始状态，也是指连接结束后，资源被释放的状态。

2. LISTEN：服务器处于监听状态，等待客户端的连接请求。在这个阶段，服务器并没有建立具体的连接，而是准备好接受来自任何客户端的连接请求。

3. SYN_RECV：服务器已经接收到来自客户端的SYN（同步序列编号）包，客户端请求建立连接。服务器响应一个SYN-ACK（同步-确认）包，以确认请求并开始建立连接。

4. SYN_SENT：客户端发送了一个SYN包给服务器以请求建立连接，此时客户端等待服务器的响应。这个状态表明连接过程的第一步已经完成，客户端正在等待确认。

5. ESTABLISHED：连接已经建立，客户端和服务器可以开始正常地发送和接收数据。这是连接生命周期中的主要阶段，用于数据传输。

6. FIN_WAIT1：应用层关闭连接，释放了本地资源，发送了一个FIN（结束）包给另一端，请求释放连接。此时，发送方等待对方的FIN包作为确认。

7. FIN_WAIT2：在FIN_WAIT1状态下，接收到对方的FIN确认包后，进入此状态。此时，连接可以释放，但发送方仍等待远程端确认连接释放。

8. TIME_WAIT：在FIN_WAIT2状态下，发送方的FIN包被确认后，连接进入此状态。这个状态也称为2MSL（最大报文段生存时间的两倍）等待状态，用于确保所有的数据包都已传输完毕，防止新建立的连接与旧的连接混淆。

9. LAST_ACK：在对方请求关闭连接时，如果连接处于CLOSED状态，会发送FIN包，并进入此状态。此时，发送方等待对方的最终确认，一旦收到确认，连接将完全关闭。

防范SYN Flood攻击的策略

为了有效防范SYN Flood攻击，我们需要对系统进行一系列的优化配置。

调整内核参数

以下是Linux内核中与SYN相关的几个关键参数，它们可以通过sysctl命令进行调整。

# 查看当前的SYN相关配置
[root@master ~]# sysctl -a | grep syn

• net.ipv4.tcp_max_syn_backlog：定义了SYN队列的最大长度。增加此值可以提高服务器处理大量并发SYN请求的能力。
• net.ipv4.tcp_syncookies：启用SYN Cookies，这是一种特殊的防御机制，用于在SYN泛洪攻击时仍能处理合法的连接请求。
• net.ipv4.tcp_synack_retries 和 net.ipv4.tcp_syn_retries：减少这些重试次数可以降低系统在非攻击状态下的网络延迟。

应用配置优化

以下是推荐的配置更改，以提高服务器的安全性和稳定性。

[root@master ~]# vim /etc/sysctl.conf
net.ipv4.tcp_max_syn_backlog=2048	# 增加SYN队列长度到2048
net.ipv4.tcp_syncookies=1			# 启用SYN Cookies
net.ipv4.tcp_synack_retries=3		# 减少SYN重试次数
net.ipv4.tcp_syn_retries=3

[root@master ~]# sysctl -p		# 配置生效

设置iptables防火墙策略

防止同步包洪水（Sync Flood）攻击

使用iptables可以限制每个IP地址的SYN包速率，从而有效减缓Sync Flood攻击。

[root@master ~]# iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT

对于转发链上所有TCP的SYN包，进行速率限制，每个IP地址每秒只接受1个SYN包，超过这个频率的SYN包将被丢弃。这样做可以有效地防止SYN Flood攻击，因为攻击者发送的大量伪造的SYN包会因为速率限制而被防火墙过滤掉，从而保护系统不受此类攻击的影响。

防止端口扫描攻击

通过限制特定的TCP标志位，可以防止自动化的端口扫描工具。

[root@master ~]# iptables -A FORWARD -p tcp --tcp-flags SYN,ACK,FIN,RST RST -m limit --limit 1/s -j ACCEPT

对于经过本机转发的TCP数据包，如果其TCP标志位中同时包含SYN、ACK、FIN、RST中的任何一个，并且每个IP地址每秒钟的流量不超过1个包，则接受该数据包。这有助于防止诸如端口扫描或某些类型的拒绝服务攻击，因为正常的TCP连接不会在单个数据包中设置多个这些标志位。

防止Ping Flood攻击（Ping of Death）

通过限制ICMP的echo-request包，可以减轻Ping Flood攻击的影响。

[root@master ~]# iptables -A FORWARD -p icmp --icmp-type echo-request -m limit --limit 1/s -j ACCEPT

对于经过本机转发的ICMP echo请求数据包，进行速率限制，确保每个IP地址每秒钟至多只能有一个echo请求数据包被处理。这种限制可以用于防止ICMP洪水攻击（也称为Ping Flood攻击），在这种攻击中，攻击者可能会发送大量的ICMP echo请求，目的是耗尽受害者的网络资源或造成网络拥堵。

为了使规则重启后依然有效，需要将这条命令添加到iptables的持久性配置中，这通常涉及到将规则添加到启动脚本或使用专门的持久性工具，如iptables-persistent或firewalld（根据所使用的Linux发行版不同而异）。

iptables-persistent与iptables-save有什么不同？

iptables-save：这是一个命令行工具，用于导出当前的iptables规则到一个文件中。使用 iptables-save 命令可以手动备份当前的iptables规则，但不会在系统重启后自动恢复这些规则。需要管理员手动执行 iptables-restore 命令来从保存的文件中恢复规则。

iptables-persistent：iptables-persistent 是一个更高级的工具，专门用于在系统重启后自动恢复iptables规则。它通常以一个软件包的形式提供，特别是在基于Debian的系统（如Ubuntu）中，可以通过包管理器安装。安装 iptables-persistent 后，它会在系统启动时自动加载之前保存的iptables规则，无需手动干预。

公有云该如何防范

可以利用云服务商的DDoS防护服务：云服务商通常提供DDoS防护服务，比如阿里云的DDoS防护包、DDoS高防IP等，这些服务可以自动检测和缓解DDoS攻击，包括SYN Flood。

结语

通过上述措施，可以显著提高服务器对SYN Flood攻击的防御能力。然而，网络安全是一个持续的过程，需要定期审查和更新安全策略。此外，监控系统日志和网络流量，以及使用专业的入侵检测系统（IDS），也是防范网络攻击的重要组成部分。