linux下優化內核來防止SYN洪水攻擊

      SYN洪水攻擊（SYN Flooding Attack）即是指利用了 TCP/IP 三次握手協議的不完善而惡意發送大量僅僅包含 SYN 握手序列數據包的攻擊方式。該種攻擊方式可能將導致被攻擊計算機為了保持潛在連接在一定時間內大量占用系統資源無法釋放而拒絕服務甚至崩潰。如果在Linux服務器下遭受SYN洪水攻擊,可以進行如下一些設置:
 
#縮短SYN- Timeout時間：
iptables -A FORWARD -p tcp --syn -m limit --limit 1/s -j ACCEPT
iptables -A INPUT -i eth0 -m limit --limit 1/sec --limit-burst 5 -j ACCEPT
 
#每秒 最多3個 syn 封包 進入 表達為 ：
iptables -N syn-flood
iptables -A INPUT -p tcp --syn -j syn-flood
iptables -A syn-flood -p tcp --syn -m limit --limit 1/s --limit-burst 3 -j RETURN
iptables -A syn-flood -j REJECT
 
#設置syncookies：
sysctl -w net.ipv4.tcp_syncookies=1
sysctl -w net.ipv4.tcp_max_syn_backlog=3072
sysctl -w net.ipv4.tcp_synack_retries=0
sysctl -w net.ipv4.tcp_syn_retries=0
sysctl -w net.ipv4.conf.all.send_redirects=0
sysctl -w net.ipv4.conf.all.accept_redirects=0
sysctl -w net.ipv4.conf.all.forwarding=0
sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=1
 
#防止PING：
sysctl -w net.ipv4.icmp_echo_ignore_all=1
 
#攔截具體IP范圍：
iptables -A INPUT -s 10.0.0.0/8 -i eth0 -j DROP
轉載地址：http://www.hit008.com/read.php?30