SYN Flood 対策

# vi /etc/sysctl.conf

net.ipv4.tcp_syncookies=1

# sysctl -p

または再起動を行います。

SYN Cookieの問題点

SYN cookies の問題点として、以下のようなものが指摘されている:

クライアントが指定してきた MSS の値を正しく記憶できない (近似値のみ)。

クライアントが指定してきた TCP オプションをすべて無視せざるを得ないこと。

一方向ハッシュ関数は計算に時間がかかるため、サーバ側の負荷が増大すること。

サーバ側に状態を保持しないため、サーバ側が先に反応を返すプロトコルにおいては、クライアント側がハングする可能性があること。

1. および 2. の問題による弊害は、通信の性能が低下することである。しかし SYN flood 攻撃を受けている場合は多少の速度を犠牲にしても、正当なクライアントが正しくサーバに接続できるようにすることのほうが重要であるため、性能の低下はさほど問題とはならないことが多い。だが通常の状態ではこのようなふるまいは望ましいとはいえないので、SYN cookies が使われるのは SYN flood 攻撃が起きているときのみである。3. については、最近ではコンピュータの処理速度が上がっているためにほとんど問題とはならないことが多い。 4. は、SMTPやFTP、SSHのように、コネクション確立後、サーバ側が先に反応を返すプロトコルで問題となる。SYN cookies ではコネクションを確立するまでサーバ側では状態を保持しない。このためTCP 3ウェイ・ハンドシェイクの3番目のパケットが失われた場合、本来であればサーバ側が行なうべきSYN-ACKパケットの再送が起きず、クライアント側に接続状態のコネクションが残ったままとなる。対話的な利用ばかりではなく計算機間の通信に使われる SMTP のようなプロトコルの場合、これは計算機資源のリークという結果を招く可能性があるので、SYN cookies の利用は危険である。

@see Wikipedia