操作系统安全：防syn 攻击优化配置

1、防syn攻击优化配置下载安装查SYN :#netstat -anp |awk print $6|sort|uniq -c |sort -rn172 ESTABLISHED59 CONNECTED589 SYN.RECV15 STREAM继续追查是那些ip发出的SYNnetstat -an | grep SYN | awk print $5 | awk -F: print $1 | sort | uniq -c | sort -nr | moreSYN的攻击原理：在TCP/IP协议中，TCP协议提供可靠的连接服务，采用三次握手建立一个连接。第一次握手：建立连接时，客户端发送syn包(syn=j)

2、到服务器，并进入SYN_SEND 状态，等待服务器确认；第二次握手：服务器收到syn包，必须确认客户的SYN(ack=j + l),同时自己也发 送一个SYN包(syn=k),即SYN+ACK包，止匕时服务器进入SYN_RECV状态；第三次握手：客户端收到服务器的SYN+ACK包，向服务器发送确认包 ACK(ack=k+l),此包发送完毕，客户端和服务器进入ESTABLISHED状态，完成三次握 手。完成三次握手，客户端与服务器开始传送数据.如果用户与服务器发起连接请求只进行到第二次握手而不再响应服务器，服务器就会不 停地等待用户确实认，如果过多这样的连接就会把服务器端的连接队列占满就会导致正

3、常的用户无法建立连接。所以我们直接从SYN的连接上进行如下改动:查看linux默认的syn配置：sysctl -a | grep _synnet.ipv4Acpjnax_syn_backlog = 1024net.ipv4.tcpsyncookies = 1net.ipv4.tcp_synack_retries = 5net.ipv4.tcp_syn_retries = 5tcp_max_syn_backlog是SYN队列的长度，加大SYN队列长度可以容纳更多等待连接 的网络连接数。tcp_syncookies是一个开关，是否翻开SYN Cookie功能，该功能可以防 止局部SYN攻击。tcp

4、_synack_retries和tcp_syn_retries定义SYN的重试连接次数，将默认 的参数减小来控制SYN连接次数的尽量少。根据服务器设定rcctweb # mere /etc/rc.d/rc.local#!/bin/sh* This script will be executed *after* all the ether init scripts.4 Ycu can put year cwn initializaticn stuff in here iz ycu den*t# want tc do the full Sys V style init 3tuzf.touch /v

5、ar/lcck/3ub3ys/lccalulimit -HSn 65535/U3r/lccal/apache2/bin/apachectl start*sysctl -w net.ipv4.tcp_max_syn_backlcg=2043sysctl -w net.ipv4.tcp-synccckies=lsysctl -w net. ipv4. tcp_3irnack_retries=3sysctl -w net.ipv4.retries=3为了不重启服务器而使配置立即生效，可以执行#sysctl -w net.ipv4.tcp_max_syn_backlog=2048#sysctl -w

6、net.ipv4.tcp_syncookies=l#sysctl -w net.ipv4.tcp_synack_retries=3 #sysctl -w net.ipv4.tcp_syn_retries=343ysctl -w net.ipv4.tcp_max_3yn_backlcg=204243y3ctl -w net.ipv4.tcp_3ynccckie3=l43y3ctl -w net.ipv4.tcp_3ynack_retrie3=343y3ctl -w net.ipv4.tcp_3yn_retries=3也有的人喜欢用访问控制列表来防止SYN的攻击，在一定程度上减缓了syn的攻击：S

7、yn洪水攻击#iptables -A INPUT -p tcp syn -m limit -limit 1/s -j ACCEPT-limit 1/s限制syn并发数每秒1次防端口扫描# iptables -A FORWARD -p tcp -tcp-flags SYN,ACK,FIN,RST RST -m limit-limit 1/s -j ACCEPT死亡之ping# iptables -A FORWARD -p icmp -icmp-type echo-request -m limit -limit 1/s-j ACCEPT#iptables-save /etc/sysconfig/i

8、ptables进行查看，#iptables -LACCEPT tcp anywhere anywhere tcp flags:FIN,SYN,RST,ACK/SYN limit: avg 1/sec burst 5ACCEPT tcp anywhere anywhere tcp flags:FIN,SYN,RST,ACK/RST limit: avg 1/sec burst 5ACCEPT icmp - anywhere anywhere icmp echo-request limit: avg 1/sec burst 5ACCEPT tcp - anywhere anywhere tcp flags:FIN,SYN,RST,ACK/SYN limit: avg 1/sec burst 5ACCEPT tcp - anywhere anywhere tcp flags:FIN,SYN,RST,ACK/RST limit: avg 1/sec burst 5ACCEPT icmp - anywhere anywhere icmp echo-request limit: avg 1/sec burst 5再次进行查看syn连接：# netstat -an | grep SYN | awk print $5 | awk -F: print $1 | sort | uniq