Linux 安全：如何防御 SYN Flood 攻击 (iptables + conntrack)

SYN Flood攻击可通过iptables和conntrack有效缓解。1. 限制每IP并发连接数，使用connlimit模块阻止超过阈值的SYN请求；2. 利用hashlimit控制单位时间内新连接速率，防止突发流量耗尽资源；3. 启用tcp_syncookies、调整synack重试次数和max_syn_backlog提升系统级防护；4. 结合recent模块封禁频繁异常IP，配合日志记录实现动态拦截。需确保nf_conntrack模块加载，规则顺序正确，阈值根据业务合理设置，从而在无硬件支持下显著增强防御能力。

SYN Flood 是一种常见的 DDoS 攻击方式，攻击者通过大量伪造的 TCP SYN 请求耗尽服务器的连接资源，导致正常用户无法建立连接。在 Linux 系统中，结合 iptables 和 conntrack 模块可以有效缓解此类攻击。以下是具体防御方法。

1. 限制每 IP 的并发连接数

使用 conntrack 跟踪连接状态，配合 iptables 限制每个客户端 IP 建立的并发连接数量，防止单个源发起大量连接。

示例规则：

说明：对发起新 TCP 连接（SYN 包）的源 IP，若其当前并发连接数超过 50，则拒绝并返回 TCP RST 包。数值可根据实际业务调整，如 Web 服务一般用户不会同时建立上百个连接。

2. 限制单位时间内的新连接速率

使用 iptables 的 hashlimit 模块控制每个 IP 在一定时间内可建立的新连接数，抵御短时间爆发式请求。

说明：允许每个源 IP 每秒最多发起 3 个新的 SYN 请求，突发允许最多 10 个。超出阈值的 SYN 包将被丢弃。注意规则顺序，先 ACCEPT 再 DROP，确保逻辑正确。

Hour One

AI文字到视频生成

37

查看详情

3. 启用系统级防护参数（辅助）

虽然不属于 iptables/conntrack，但合理配置内核参数能增强整体抗性：

• 开启 SYN Cookies：防止半开连接表溢出
  echo 1 > /proc/sys/net/ipv4/tcp_syncookies
• 减少 SYN 超时时间：
  echo 30 > /proc/sys/net/ipv4/tcp_synack_retries
• 增大连接队列容量（适用于高流量服务）：
  echo 2048 > /proc/sys/net/ipv4/tcp_max_syn_backlog

4. 封禁异常连接行为的 IP（可选）

结合日志和脚本，识别频繁触发限速规则的 IP，并临时加入黑名单。

配合前面规则记录异常 IP：

基本上就这些。iptables + conntrack 提供了灵活且高效的防御机制，关键在于根据实际流量特征设置合理的阈值。配合系统参数调优，可在不依赖外部硬件的情况下显著提升服务器抗 SYN Flood 能力。不复杂但容易忽略细节，比如规则顺序和模块加载。确保 nf_conntrack 模块已加载（modprobe nf_conntrack），否则相关匹配将失效。

以上就是Linux 安全：如何防御 SYN Flood 攻击 (iptables + conntrack)的详细内容，更多请关注php中文网其它相关文章！