本文详细介绍了TCP协议在数据传输中维护的半连接队列(SYN Queue)和全连接队列(Accept Queue)，以及SYN Flood攻击和防御机制。当SYN Queue满时，服务器会发送重置连接或启用SYNcookie机制。同时讨论了如何调整内核参数以应对SYN Flood攻击，并强调了SYNcookie在防御攻击时的使用限制。
一、TCP 维护队列
TCP协议在数据传输过程中会维护两个队列:半连接队列(SYN queue)和全连接队列(accept queue)。
1.1、半连接队列(SYN Queue)
服务器端监听TCP端口后，会创建一个request_sock结构，用于存储半连接队列。
在TCP三次握手中，当服务器接受到客户端的SYN包后，就将此连接保存到SYN Queue中，并向客户端发送SYN-ACK包;等待客户端发送ACK包。
此时服务器端记录此链接状态为SYN_RECV。
SYN Queue的存储数量max(64,/proc/sys/net/ipv4/tcp_max_syn_backlog)。
1.2、全连接队列Accept Queue
客户端收到服务器端的syn-ack包后，就会发出ACK包。服务器端收到ACK包，会将此链接从SYN Queue中删除，添加到Accept Queue。
此时服务器端记录此链接状态为Established。
accept queue的存储数量min(backlog,somaxconn)。默认somaxconn为128，即接受129个。
二、SYN Queue队列满(tcp_abort_on_overflow)|SYN Flood攻击
当服务器维护的SYN Queue队列满了，默认(tcp_abort_on_overflow=0)情况会发送重置此连接;客户端会重新发送SYN包，尝试多次得不到响应后返回(time out)错误。
SYN Flood 是DDoS(分布式拒绝服务攻击)的方式之一，这是一种利用TCP协议缺陷，发送大量伪造的TCP连接请求，从而使得被攻击方资源耗尽(CPU满负荷或内存不足)的攻击方式。
2.1、实例场景</
最低0.47元/天 解锁文章
541
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
