Syn Cookie问题

shabinbin870808

syn cookie下大量的SYN+ACK会带来什么问题？如何解决？
内核2.6.18的syn cookie实现，算法效率如何？

大家来讨论下...

Godbach

可以使用累积校验和算法

这个算法是个怎么实现啊，搜了一下，没找到。。

独孤九贱

原帖由 Godbach 于 2010-1-20 16:15 发表

那前提就是先判断好是否发生了攻击

这个是自然,可以简单的阀值判断就行了吧?要专业点,可以使用累积校验和算法.

Godbach

好像没有完美的解决方案，但是基于“因为在攻击发生时，绝大部份的报文都是攻击包，是没有必要进行cookie回应的”这一原理，还是可以做一些优化。

那前提就是先判断好是否发生了攻击

独孤九贱

关于ack+syn的应答，在攻击流量大的情况上，会产生相应数量的应答包，这对于服务器自身CPU、网卡和总线、上行带宽以及上行路由器等，都是严重的挑战。
举个例子，服务器自身资源的消耗：一个服务器可以处理80Mbps的syn，因为大量的ack+syn，这个值可能会降到40-50Mbps。

好像没有完美的解决方案，但是基于“因为在攻击发生时，绝大部份的报文都是攻击包，是没有必要进行cookie回应的”这一原理，还是可以做一些优化。

举个最笨的例子：可以随机丢弃6成的请求包文，并记录之，利用tcp超时重传，有第二次sny来，则构建cookie应答之。同时可以再把已经验证OK的请求地址统计出来，以方便下次不会被随机丢弃。

烟雾弹下的真实

那现在防SYN，在修改内核上有没有什么可取的地方呢?

platinum

原帖由 Godbach 于 2010-1-19 11:05 发表


如果占用带宽过多，是不是算是影响设备的正常工作了。记得之前讨论的时候，九贱兄提到做syn cookie的时候，ack包过多也是要考虑的

这不是 syn-flooding 的讨论范畴
任何一种数据都有可能塞满整个带宽
单纯 syn/ack 仅仅 46 字节（IP 层），能充满整个线路，pps 也够多的了
但是，任何一种数据，包括 udp，只要往链路里塞，你也没办法不是？

ubuntuer

这个最好的还是自己来继续完善syncookie
收到ack时判断ack的合法性

shabinbin870808

我也这么认为，大量的syn+ack会占用出口带宽，也就可能影响服务了。

Godbach

理论上不会形成攻击，不会占用 socket，只是占用带宽而已

如果占用带宽过多，是不是算是影响设备的正常工作了。记得之前讨论的时候，九贱兄提到做syn cookie的时候，ack包过多也是要考虑的