当前位置：首页 » 专业资讯

开发技术指南» 文章正文

    引言： 我在一家网站工作，目前我对我所管理的WEB服务器的防止SY

 

 

防止SYN的攻击参数设置

我在一家网站工作，目前我对我所管理的web服务器的防止syn攻击方面做了以下规则： 【相关文章:【FAQ】RPM软件包使用常见问题】

【扩展阅读:挖哈哈哈哈哈哈!关于CS服务起的问题解决】

iptables -n syn-flood 【扩展信息:红旗桌面4.0正式版最新使用方法和问题解】

iptables -a input -p tcp --syn -j syn-flood

iptables -i syn-flood -p tcp -m limit --limit 3/s --limit-burst 6 -j return

iptables -a syn-flood -j reject

sysctl -w net.ipv4.icmp_echo_ignore_all=1

echo "1" > /proc/sys/net/ipv4/tcp_syncookies

但好像效果不是很好，有没有朋友有更好的方法，贴出来看看！另外，在redhat8与redhat9上对tcp会话超时的net.ipv4的参数定义是那个，我想限制tcp会话时间不超过30秒，应该设置那个参数呢？具我所知，微软的这个参数设置的是3秒。

 wind521 回复于：2003-09-15 10:06:54 考虑上面加上一个硬件的防火墙

 q1208c 回复于：2003-09-15 10:10:59 是不是你写的不对呀？你是怎么知道不好用的呀？别是你试过吧？

 q1208c 回复于：2003-09-15 10:24:29 是不是你写的不对呀？你是怎么知道不好用的呀？别是你试过吧？

 cgweb 回复于：2003-09-15 11:04:40 说说"效果不是很好"是何表现呀!

 frankzh 回复于：2003-09-15 11:27:34 [quote:0c5cee801f="webwanglei"]我在一家网站工作，目前我对我所管理的web服务器的防止syn攻击方面做了以下规则：

iptables -n syn-flood

iptables -a input -p tcp --syn -j syn-flood

iptables -i syn-flood -p tcp -m limit --limit 3/s --li..........[/quote:0c5cee801f]     

hardening the tcp/ip stack to syn attacks

most people know how problematic protection against syn denial of service attacks can be. several methods, more or less effective, are usually used. in almost every case proper filtering of packets is a viable solution. in addition to creating packet filters, the modification of the tcp/ip stack of a given operating system can be performed by an administrator. this method, the tuning of the tcp/ip stack in various operating systems, will be described in depth in this article.

while syn attacks may not be entirely preventable, tuning the tcp/ip stack will help reduce the impact of syn attacks while still allowing legitimate client traffic through. it should be noted that some syn attacks do not always attempt to upset servers, but instead try to consume all of the bandwidth of your internet connection. this kind of flood is outside the scope of scope of this article, as is the filtering of packets which has been discussed elsewhere.

what can an administrator do when his servers are under a classic, non-bandwidth flooding syn attack? one of most important steps is to enable the operating systems built-in protection mechanisms like syn cookies or synattackprotect. additionally, in some cases it is worth tuning parameters of the tcp/ip stack. changing the default values of stack variables can be another layer of protection and help better secure your hosts. in this paper i will concentrate on:

increasing the queue of half-open connections (in the syn received state).

decreasing the time period of keeping a pending connection in the syn received state in the queue. this method is accomplished by decreasing the time of the first packet retransmission and by either decreasing the number of packet retransmissions or by turning off packet retransmissions entirely. the process of packet retransmissions is performed by a server when it doesnt receive an ack packet from a client. a packet with the ack flag finalizes the process of the three-way handshake.

...   下一页

» 本期热门文章：

· 热门栏目：

» 相关精选文章

» 其它相关：