Day21-07｜4.7.5 强化 TCP/IP 堆栈以抵御拒绝服务攻击：连接资源也需要架构治理

本文对应《系统架构设计师教程（第2版）》第4章“信息安全技术基础知识”4.7.5“强化TCP/IP堆栈以抵御拒绝服务攻击”。本节关注网络协议栈在遭遇连接洪峰、半连接洪水、异常报文和慢连接时如何保护有限资源。考试中不能只写某个操作系统参数，还要说明参数保护的对象、适用场景、代价、验证方法以及它与上层网关和应用防护的关系。

一、学习目标与考试定位

完成本节后，应能够说明 TCP 建立连接和释放连接时会消耗哪些资源，理解 SYN 洪水、连接表耗尽、半连接队列耗尽和慢连接攻击的基本机理；能够从边界设备、内核协议栈、反向代理、应用服务和监控运维多个层次设计防护；能够解释 TCP 参数调优为什么不能替代流量清洗和应用限流；能够在案例题中根据现象定位瓶颈并提出可验证的整改方案。

二、TCP 连接为什么会成为攻击目标

TCP 是面向连接的可靠传输协议。客户端发起连接时，通常经历 SYN、SYN-ACK 和 ACK 的握手过程。服务端在连接完全建立前就需要记录部分状态，并把请求放入相应队列。攻击者如果伪造大量源地址，只发送 SYN 而不完成后续握手，就可能使服务端积累大量半连接，占用队列和内核资源。若连接建立后又长时间不发送完整请求，则会进一步占用连接、线程、内存和文件描述符。

一个请求从网络到应用通常经过：

网卡与驱动 → 内核协议栈 → 连接队列 → 监听进程 → 反向代理 → 应用线程/协程 → 数据库与其他依赖

攻击者可以选择其中任意一个资源作为瓶颈。即使应用 CPU 很低，连接队列也可能已满；即使网络带宽未打满，线程池和文件描述符也可能耗尽。因此排查必须同时观察网络丢包、SYN 接收量、已建立连接、连接状态分布、队列溢出、文件描述符、内存、线程、请求耗时和下游连接池。

三、SYN 洪水与半连接保护

SYN 洪水利用 TCP 握手的状态分配特点，使服务端为大量未完成握手请求保留资源。常见防护思路有三类。第一，在网络边界和负载均衡设备上进行 SYN 代理，由设备代替后端完成握手，确认客户端能够完成交互后再把连接转发给服务器；第二，使用 SYN Cookie 等机制，减少服务端为半连接保存状态的需求；第三，合理配置半连接队列、重传次数和超时，使异常连接尽快释放。

这些措施各有边界。SYN Cookie 可以降低半连接状态压力，但不能解决后续大量已建立连接或应用层请求；增大队列只能延迟耗尽，过大会增加内存和排队延迟；缩短重传和超时有助于回收异常连接，却可能误伤高延迟、移动网络和跨地域业务。架构设计应依据正常基线、链路时延和连接模型压测，而不是照抄参数。

四、已建立连接、TIME_WAIT 与文件描述符

握手完成后，连接仍会消耗 socket、内存、线程或协程，以及应用和下游资源。服务端应限制单源、单用户、单租户和全局并发连接数，并设置空闲超时、请求头超时、请求体超时和响应超时。长轮询、WebSocket 和大文件上传等正常场景不能简单套用短连接策略，应为它们设计独立的连接池、配额和超时。

连接关闭后可能进入 TIME_WAIT 状态。大量短连接会使端口、连接表和内核资源承受压力。优化方向包括启用连接复用、使用 keep-alive、让反向代理承担连接管理、避免应用无意义地频繁建立连接，并依据操作系统和网络环境调整回收策略。不能通过危险地复用连接状态来掩盖系统设计问题，更不能为了追求连接数而破坏 TCP 的可靠性和安全性。

文件描述符是常被忽视的资源。网络连接、日志文件、管道和其他对象都可能占用文件描述符。攻击者建立大量连接后，即使内存尚未耗尽，也可能造成“无法打开新连接”。应设置合理的进程和系统上限，监控使用率和泄漏，确保服务在达到边界时能够优雅拒绝，而不是拖垮整个主机。

五、超时、重传与慢连接防护

慢连接攻击利用服务器等待请求头、请求体或后续数据的时间，长期占用连接。反向代理应对请求头接收、请求体接收、空闲连接、上游连接和下游响应设置分层超时；应用应限制请求体大小、上传速率、并发上传数和单个任务时长。对于确实需要长时间传输的业务，可以使用分片上传、断点续传和异步任务，而不是让一个同步请求无限等待。

重传策略也需谨慎。客户端、网关和服务间的自动重试，在下游变慢时可能形成重试风暴。应采用指数退避、抖动、最大次数和总时间预算，并对非幂等操作使用幂等键。连接超时、请求超时和业务超时要区分，避免层层等待导致总耗时远超用户可接受范围。

六、反向代理与分层终止连接

让公网客户端直接连接每台应用服务器，会把连接管理、协议解析和攻击流量直接推向业务节点。通过反向代理或负载均衡，可以在接入层终止客户端连接，执行连接限制、TLS 处理、请求大小控制、基础 WAF 和速率控制，再用受控的内部连接访问后端。

反向代理不是万能防护。若所有代理节点共享同一瓶颈，攻击仍可压垮代理；若代理到后端使用无界连接池，压力会继续向数据库传播；若只在代理层按 IP 限制，代理后的真实身份可能丢失。因此需要明确客户端地址传递和信任边界，设置代理到后端的连接上限、排队策略、超时和熔断，并为核心业务保留资源。

七、IPv4、IPv6 与部署环境差异

现代系统可能同时启用 IPv4 和 IPv6。安全策略、端口监听、源地址校验和防火墙规则不能只覆盖 IPv4，否则 IPv6 可能成为被忽略的入口。容器和云平台还会引入安全组、网络命名空间、服务网格、入口控制器和多层代理，主机看到的源地址未必是真实客户端地址。

因此，协议栈加固应纳入部署基线：明确监听地址和协议族，关闭不需要的暴露面，确保 IPv4/IPv6 规则一致，核对容器宿主机和云安全组配置，并从公网、办公网、管理网和容器网络分别验证可达性。不要因为某个主机本地检查显示端口关闭，就推断整个服务没有外部入口。

八、监控、压测与参数调优方法

调优前先建立基线，记录正常峰值、突发流量、连接建立速率、平均连接时长、请求大小、P95/P99 延迟、错误率、队列长度和下游资源使用率。然后设计分阶段压测：正常流量、合法突发、半连接压力、慢请求、连接泄漏和下游变慢。测试要在授权环境进行，并设置停止条件，避免把生产系统当作实验场。

验证结果不能只看“服务器没宕机”。还要观察核心业务成功率、正常用户误拒绝率、攻击流量拦截率、资源恢复时间、告警到响应时间和切换后的数据一致性。每次参数变更记录前后值、适用主机、变更原因、回滚方法和指标变化，形成可复用的配置基线。

九、案例分析：API 网关连接耗尽

某物流平台使用 API 网关接入大量设备。高峰期出现大量连接处于半开或空闲状态，网关文件描述符接近上限，后端应用实例 CPU 正常但请求成功率下降。初步排查发现设备网络不稳定，客户端重试没有退避，并且网关对请求头和空闲连接没有明确超时。

整改首先在网关前设置连接和流量保护，对异常源和异常连接速率进行限制；其次启用合适的半连接保护和连接队列配置，设置请求头、请求体、空闲和上游超时；再次建立设备、租户和接口级别配额，避免少数设备占满共享资源；客户端采用指数退避和抖动，写操作增加幂等键；网关与后端采用有上限的连接池，并对慢下游熔断；最后将设备上报改造成批量、压缩或异步接入，减少连接建立次数。

权衡在于更短的超时可能使弱网设备频繁失败，更严格的连接上限可能降低峰值吞吐，批量上报会增加数据延迟。应通过设备分层、专用配额、重试预算和灰度压测确定参数，并以成功率、延迟、连接使用率和正常设备误拒绝率作为验收依据。

十、课后练习

练习一：单项选择

面对大量 SYN 请求而应用 CPU 尚未升高，首要关注的资源是（ ）。

A. 数据库表空间；B. 半连接队列、重传状态和网络边界资源；C. 前端页面颜色；D. 业务报表格式。

答案：B。SYN 洪水首先影响握手和协议栈状态，应该检查队列、重传、连接表和边界设备，并采取 SYN 代理、Cookie、限速和清洗等措施。

练习二：简答题

为什么不能通过简单地“把所有 TCP 超时调得很短”来防御拒绝服务？

参考答案：不同业务的网络时延、请求大小和连接模型不同，过短超时可能误伤移动端、跨地域访问、长轮询和大文件上传；超时只能回收部分异常连接，不能解决大带宽、应用层高成本请求和下游依赖过载；多个层次同时超时还可能引起重试风暴。应按连接阶段和业务类型分层设置超时，配合限流、连接上限、代理、熔断、幂等、清洗和压测验证。

练习三：案例分析

某网站开启了大连接队列后，短期内连接失败减少，但高峰时内存和延迟显著上升。请解释原因并提出改进方案。

参考答案：队列变大只是容纳了更多等待连接，未从根本上减少攻击或提高后端处理能力；连接状态和排队请求消耗内存，等待时间增加，可能把压力推向应用和数据库。应根据正常峰值和连接处理能力确定队列，启用半连接保护和边界清洗，按源、用户和接口限制并发，设置合理超时和优先级队列，使用反向代理与连接复用，保护后端连接池；通过压测观察成功率、P99 延迟、内存、队列溢出和误拒绝率，并保留回滚方案。

十一、论文素材

论文可以这样写：针对系统遭遇连接洪峰和慢连接风险，我没有仅依赖主机参数，而是建立了边界、协议栈、网关和应用的分层防护。入口侧通过清洗和负载均衡削减异常流量，协议栈侧启用半连接保护并合理设置队列、重传和连接回收策略，网关侧设置请求阶段超时、并发配额和后端连接池上限，应用侧采用限流、熔断、异步化和幂等控制保护关键依赖。通过基线监控、授权压测、灰度变更和回滚预案验证调优效果，最终以核心交易成功率、P99 延迟、连接资源使用率和恢复时间评估方案。

十二、今日复盘

TCP/IP 堆栈强化的重点是保护连接和状态资源，但它只能解决协议与主机层的一部分问题。完整方案应识别半连接、已建立连接、文件描述符、线程、代理连接池和下游资源，结合 SYN 防护、超时、连接复用、限流、清洗、熔断和监控压测；任何参数都必须依据业务基线验证，并保留误伤评估和回滚方案。下一篇进入 4.7.6 系统漏洞扫描。