关于 SYN防火墙的 一点疑问

shenbo7

现在的SYN防火墙，基本都是使用SYN Cookie 和6次握手方式；\r\n\r\n我想，对付半开链接，是不是这样：\r\n—— ——\r\nSYN：     C———>FW———>S\r\n\r\nSYN-ACK：C<———FW<———S\r\n\r\nACK：              FW———>S\r\n\r\nACK：     C———>FW———>S\r\n\r\n也就是说，防火墙不管客户端，直接发ACK给服务器，第二个ACK应该会被服务器丢弃的；\r\n\r\n不知道，这样有什么问题，可不可行。\n\n[ 本帖最后由 shenbo7 于 2009-8-13 12:22 编辑 ]

kentchoi

正常的链接怎么办？防火墙如何判断syn请求是合法的还是伪装的？

shenbo7

没考虑过滤，只是针对SYN FLOOD攻击说的；

带脚镣跳舞

C------->FW  SYN\r\nC<-------FW  SYN+ACK\r\nC-------->FW  ACK\r\n              \r\n              FW----->S  SYN\r\n              FW<----S   SYN+ACK\r\n              FW------>S ACk\r\n\r\n6次握手 防火墙启用synproxy+syncookie  判断合法后 两边连接需要修改TCP序列号，防火墙需要维护连接状态\r\n\r\n你那种方法已经变成全连接，服务器早就被弄死了，开销比半连接还大\n\n[ 本帖最后由 带脚镣跳舞 于 2009-8-14 15:27 编辑 ]

ssffzz1

SYS Cookie 应用到服务器自身。\r\n和 \r\nSYS PROXY 应用到做NAT的网关上。\r\n\r\n的原理基本是一致的，只是应用到的位置不同而已。没什么可比性。

shenbo7

可是，我GOOGLE的资料里；\r\n有很多带SYN FLOOD防护的网关设备和防火墙设备，\r\n都带有开启SYN Cookie的选项；\r\n\r\n如果，这些设备不开启SYN Cookie ，怎么保护它的转发引擎的半连接队列？

ssffzz1

那个就是Sys proxy了。

shenbo7

SYN：     C———>proxy\r\nSYN-ACK：C<———proxy(打开SYN Cookie功能)\r\nACK：     C———>proxy\r\n\r\nSYN：              proxy------->S\r\nSYN-ACK：         proxy<-------S\r\nACK：              proxy------->S\r\n\r\n没有这样工作的proxy吗？

ssffzz1

你想，要是按照你的那个思路搞的话，资源消耗是不是更厉害啊。

ssffzz1

7楼给你的那个仔细看看。基本的思路就是如此。