Linux: config: CONFIG_SYN_COOKIES

mzhan017

已于 2023-12-22 09:00:30 修改

阅读量654

点赞数

CC 4.0 BY-SA版权

分类专栏：网络 kernel 文章标签： linux 网络 tcp

于 2023-02-27 12:30:44 首次发布

本文链接：https://blog.youkuaiyun.com/qq_36428903/article/details/129239528

kernel 同时被 2 个专栏收录

335 篇文章 ¥69.90 ¥99.00

订阅专栏

网络

237 篇文章 ¥59.90 ¥99.00

订阅专栏

TCP SYN Cookies是一种防御SYN Flood攻击的机制，通过加密质询协议保护合法用户连接。当SYN backlog队列满时启用。虽然会违反TCP协议并可能导致服务降级，但在遭受攻击时提供防护。华为SBC允许调整TCP Cookie验证超时，但其代码并非开源。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

CONFIG_SYN_COOKIES

config SYN_COOKIES，布尔值；是否支持IP：TCP syncookie功能。
详解：一般来说TCP/IP网络不能够阻挡SYN flooding工具。这个工具很容易被利用，而且会导致DOS工具，妨碍其他整个用户的接入。而SYN cookie可以为这种攻击给予防护。如果设置为Y，TCP/IP 堆栈将使用"SYN cookie"的加密质询协议，使合法用户能够继续连接，即使您的计算机受到攻击。SYN Cookie，对合法用户是透明的，用户无需更改其 TCP/IP 软件。SYN cookies技术文档：http://cr.yp.to/syncookies.html.
如果发生SYN flooded，内核上报的源地址很可能是攻击者伪造的；所以只能将这些信息作为数据包追踪到其实际来源的辅助信息，不应被视为绝对事实。当服务器确实过载时，SYN Cookie 可能会阻止客户端上的正确错误报告。如果这种情况经常发生，最好关闭SYN cookies功能。

在打开这个功能之后，可以通过下面的命令，实时关闭这个功能:
echo 0 > /proc/sys/net/ipv4/tcp_syncookies
after the /proc file system has been mounted.
If unsure, say N.