在 TCP 三次握手时候,Linux 内核维护两个队列,分别是:
连接队列,也称 SYN 队列;
连接队列,也称 accept 队列;

服务端收到客户端发起的 SYN 请求后,内核会把该连接存储到半连接队列,并向客户端响应 SYN+ACK,接着客户端返回 ACK,服务端收到第三次握手的 ACK 后,内核会把连接从半连接队列移除然后创建新的完全的连接,并将其添加accept 队列,等待进程调用 accept 函数时把连接取出来。
不管是半连接队列还是全连接队列,都有最大长度限制,超过限制时,内核会直接丢弃,或返回 RST 包。
服务端并发处理大量请求时,如果 TCP 全连接队列过小,就容易溢出。发生 TCP 全连接队溢出时候,后续的请求就会被丢弃,这样就会出现服务端请求数量上不去的现象。

服务可以使用 ss 命令,来查看 TCP 全连接队列的情况
当超过了 TCP 最大全连接队列,服务端则会丢掉后续进来的 TCP 连接,丢掉的 TCP 连接的个数会被统计起来,我们可以使用 netstats | grep overflowed 命令查看

 

cat /proc/sys/net/ipv4/tcp_abort_on_overflow
tcp_abort_on_overflow 共有两个值分别是 0 和 1,其分别表示
0 :如果全连接队列满了,那么 server 扔掉 client 发过来的 ack
1 :如果全连接队列满了,server 发送一个 reset 包给 client,表示废掉这个握手过程这个连接;

TCP 全连接队列的最大值取决于 somaxconnbacklog 之间最小值,也就是 min(somaxconn, backlog)
somaxconn 是 Linux 内核的参数默认值是 128,可以通过 /proc/sys/net/core/somaxconn设置其值;
backloglisten(int sockfd, int backlog) 函数中的 backlog 大小,Nginx 默认值是 511,可以通过修改配置文件设置长度
如果持续不断地有连接因为 TCP 全连接队列溢出被丢弃,就应该调大 backlog 以及 somaxconn 参数

TCP 半连接队列长度长度没有像全连接队列那样可以ss 命令查看
但是我们可以抓住 TCP 半连接的特点,就是服务端处于 SYN_RECV 状态的 TCP 连接,就是 TCP 半连接队列
netstatnatp | grep SYN_RECV | wc -l

 

有三个条件因队列长度关系而被丢弃的
如果半连接队列满了,并且没有开启 tcp_syncookies,则会丢弃;
若全连接队列满了,且没有重传 SYN+ACK 包的连接请求多于 1 个,则会丢弃;
如果没有开启 tcp_syncookies,并且 max_syn_backlog 减去 当前半连接队列长度小于 (max_syn_backlog >> 2),则会丢弃;

可见,半连接队列最大值不是单单由 max_syn_backlog 决定,还跟 somaxconnbacklog关系

 

因为上面第三条件,所以半连接队列最大值 max_qlen_log 不表示服务端处于 SYN_RECV 状态最大个数
如果当前半连接队列的长度 「没有超过」理论半连接队列最大值 max_qlen_log,那么如果条件 3 成立,则依然会丢弃 SYN 包,也就会使得服务端处于 SYN_RECV 状态的最大个数不会是理论值 max_qlen_log

 

如果 SYN 半连接队列已满,只能丢弃连接吗?
开启 syncookies 功能可以在不使用 SYN 半连接队列的情况下成功建立连接

 

cat /proc/sys/net/ipv4/tcp_syncookies
syncookies 参数主要有以下三个值:
0 值,表示关闭功能
1 值,表示仅当 SYN 半连接队列放不下时,再启用它;
2 值,表示无条件开启功能; 

如何防御 SYN 攻击
增大半连接队列;增大 tcp_max_syn_backlog 的值,还需一同增大 somaxconnbacklog,也就是增大全连接队列
开启 tcp_syncookies 功能echo 1 > /proc/sys/net/ipv4/tcp_syncookies
减少 SYN+ACK 重传次数echo 1 > /proc/sys/net/ipv4/tcp_synack_retries  

原文地址:https://blog.csdn.net/weixin_50966947/article/details/134791011

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任

如若转载,请注明出处:http://www.7code.cn/show_41694.html

如若内容造成侵权/违法违规/事实不符,请联系代码007邮箱suwngjj01@126.com进行投诉反馈,一经查实,立即删除

发表回复

您的邮箱地址不会被公开。 必填项已用 * 标注