计算机网络

计算机网络

1. 半连接队列和全连接队列

TCP进入三次握手前，服务端会从CLOSED状态变为LISTEN状态,同时在内部创建了两个队列：

1. 半连接队列（SYN队列）
2. 全连接队列（ACCEPT队列）

半连接队列（SYN队列）：

TCP三次握手时，客户端发送SYN到服务端，服务端收到之后，便回复ACK和SYN，状态由LISTEN变为 SYN_RCVD，此时这个连接就被推入了SYN队列，即半连接队列。

全连接队列：

当客户端回复ACK, 服务端接收后，三次握手就完成了。这时连接会等待被具体的应用取走，在被取走之前，它被推入ACCEPT队列，即全连接队列。

1. SYN（洪范）攻击

1、概念

典型的DoS (Denial of Service，拒绝服务) 攻击，它在短时间内，伪造不存在的IP地址,向服务器大ᰁ发起SYN报文。当服务器回复SYN+ACK报文后，不会收到ACK回应报文，导致服务器上建立大ᰁ的半连接，致使半连接队列满

了，这就无法处理正常的TCP请求。

它利用 TCP 协议缺陷，通过发送大ᰁ的半连接请求，耗费 CPU 和内存资源。

2、检测

当在服务器上看到大ᰁ的半连接状态时，特别是源 IP 地址是随机的，基本上可以断定这是一次 SYN 攻击。

3、解决方法

（1）通过防火墙

服务器防火墙会对收到的每一个SYN报文进行代理和回应，并保持半连接。等发送方将ACK包返回后，再᯿新构造 SYN包发到服务器，建立真正的TCP连接、路由器等过滤网关防护。

（2）通过加固 TCP/IP 协议栈防范

如增加最大半连接数，缩短超时时间。

（3）SYN cookies技术

SYN Cookies 是对 TCP 服务器端的三次握手做一些修改，专门用来防范 SYN 洪泛攻击的一种手段。

【在收到SYN包后，服务器根据一定的方法，以数据包的源地址、端口等信息为参数计算出一个cookie值作为自己的SYNACK包的序列号，回复SYN+ACK后，服务器并不立即分配资源进行处理，等收到发送方的ACK包后，᯿新根

据数据包的源地址、端口计算该包中的确认序列号是否正确，如果正确则建立连接，否则丢弃该包。】