SYN_RECV 问题，请教

kozazyh

今天发现机器的连接特别多（不知道是不是哪一个家伙在攻击我的服务器？，昨晚到现在一直是这个状态。）：

#netstat -an |grep \:80 |more

tcp        0      0 202.111.*.*:80       222.247.132.14:1384     SYN_RECV
tcp        0      0 202.111.*.*:80       210.22.50.68:1394       SYN_RECV
tcp        0      0 202.111.*.*:80       124.147.165.172:1434    SYN_RECV
tcp        0      0 202.111.*.*:80       222.247.225.88:2076     SYN_RECV
tcp        0      0 202.111.*.*:80       222.240.32.236:1744     SYN_RECV
tcp        0      0 202.111.*.*:80       124.147.165.172:1442    SYN_RECV
tcp        0      0 202.111.*.*:80       118.255.8.27:1562       SYN_RECV
tcp        0      0 202.111.*.*:80       220.168.18.61:27463     SYN_RECV
tcp        0      0 202.111.*.*:80       118.249.54.48:4913      SYN_RECV
tcp        0      0 202.111.*.*:80       218.76.215.164:1025     SYN_RECV
tcp        0      0 202.111.*.*:80       222.242.184.66:53448    SYN_RECV
tcp        0      0 202.111.*.*:80       118.255.8.27:1563       SYN_RECV
tcp        0      0 202.111.*.*:80       124.228.34.156:25099    SYN_RECV
*
*
*
共：4万多条，


所以做了下面的设置：

设置了最大打开文件数
open files                      (-n) 65535

并设置：
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog=2048
net.ipv4.tcp_synack_retries=1

这样就有新的问题：（TIME_WAIT 3万多条）
#netstat -an |grep \:80 |more

tcp        0      0 202.111.*.*::80       117.43.128.54:64573     TIME_WAIT
tcp        0      0 202.111.*.*::80       220.248.208.91:23763    TIME_WAIT
tcp        0      0 202.111.*.*::80       222.244.219.230:24937   TIME_WAIT
tcp        0      0 202.111.*.*::80       222.243.91.69:25421     TIME_WAIT
tcp        0      0 202.111.*.*::80       219.134.85.115:27648    TIME_WAIT
tcp        0      0 202.111.*.*::80       118.251.0.107:50736     TIME_WAIT
tcp        0      0 202.111.*.*::80       220.169.248.72:31673    TIME_WAIT
tcp        0      0 202.111.*.*::80       218.75.147.81:32553     TIME_WAIT

# netstat -an |grep TIME_WAIT |wc -l
32899

我猜 这些都是伪造的ip 过来的，怎样才能找到是哪个真实的ip在攻击我？

请问有什么好的办法解决？

[ 本帖最后由 kozazyh 于 2009-3-14 13:21 编辑 ]

marsaber

http://soft.chinabyte.com/103/7753103.shtml

marsaber

影响web访问不？
太多了，像被攻击了。
/proc/sys/net/ipv4/ip_conntrack_max是多大？增大点呢？

kozazyh

设置：
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog=2048
net.ipv4.tcp_synack_retries=1

之后，web访问好了点，但是有时候会挂掉。
# cat /proc/sys/net/ipv4/ip_conntrack_max
1000000

，但是我感觉到 TIME_WAIT 好多，怎样才能去掉一些？

llzqq

想找攻击者，单靠自己几乎不可能，只有从互联网骨干路由器上分析网络流量进而跟踪才能找到是那个机器发出的攻击包，这只是找到了发起攻击的机器，要找到是那个人捣乱就更费劲些。

kns1024wh

分析一下日志信息，看看到达服务器的请求具体是不是可以看到的数量一致，否则就是有可能出现攻击

marsaber

拼设备、拼带宽！

大规模DDoS的话，除了等死，好像没其他办法。