本人着手写一个syn proxy有兴趣的朋友欢迎加入

zjzf_1

本人着手写一个syn proxy有兴趣的朋友欢迎加入
我现在以freebsd为基础 基于ethernet bridge 实现一个syn proxy 以缓解syn攻击
有兴趣的朋友 我们可以共同研究

QQ:17405718

skylove

说详细一点。。。？？
我以前没接触过syn proxy的代理。。。shying。。。

zjzf_1

三次握手
         tcp tree-way handshake
client-----1------->;server
               
client<----2--------server
              
client------3------>;server


         use tcp syn proxy
client-------1---->;syn proxy- - - - - server
         
client<-----2-----syn proxy- - - - - -server
                                       
client-------3--->;syn proxy---1---->;server
                                          
client- - - - - - - -syn proxy<---2-----server
                                          
client- - - - - - - - syn proxy----3---->;server

skylove

思路看明白了，似乎的确能在一定程度上缓解对真正服务器的syn攻击。
   freebsd的走桥方式路由我不不熟悉，不过我对此表示关注，帮顶一下。。。

yuanyawei

用PCAP和LIBNET来写吗？

zjzf_1

因为我是在一个设备上实现的  不用考虑通用性  所以我不使用 现成的接口
为了更高的性能 我可能会直接更改 底层的结构
如果使用现成的接口我会选择ipf

mirnshi

类似这种防范，必须和fw联动，才能起到最佳效果

zjzf_1

mirnshi      ........................

icyblue

:em11:        

很好的思路，不过接替了服务器的Syn Proxy如何保证自己的安全性呢？对TCP握手按照源地址和端口进行实时统计，过阈值者杀？那可是很耗CPU资源的。否则纯粹靠大内存大连接表对耗似乎也不是办法。

另外，三次握手以后的包是直接转发还是干脆直通呢？或者还加上策略过滤（好像变成FW了。。。）

在后面带着服务器集群的情况下，该如何实现load balance？当然如果装在FW前面就不会有这个问题，但是这样对自身安全性的要求比较高。

ayazero

想法不错，其实跟XX差不多，

如果设计时考虑的不够全面，那么我已经有办法D.o.S这个设备了

呆在北京真是无聊，哎~~~