SYN cookie

1. syn cookie是用来干嘛的
   

• 如上图，TCP建立连接过程中，服务端在第二次握手后会将连接放入半连接队列中。然后在第三次握手成功后，从半连接队列中移除加入到全连接队列中。
• 如果没有开启syn cookie，则当半连接队列满了之后，再有新的连接就会直接丢弃。
• 当开启了syn cookie后，就可以在不使用syn半连接队列的情况下成功建立连接。

具体方法：

• 服务器收到syn请求(第一次握手)后，会根据当前状态计算出一个cookie值。放在syn+ack报文(第二次握手)中发出。
• 当客户端返回ack报文(第三次握手)时会再次带上这个cookie值。服务端取出这个值进行验证。如果合法就认为连接建立成功。加入全连接队列中。

2. 如何开启syncookies功能:
   通过配置/proc/sys/net/ipv4/tcp_syncookies设置
   0：表示关闭该功能
   1：表示仅当syn半连接队列放不下时，再启用它（默认值）
   2：表示无条件开启该功能
   只需要设置1即可

解决syn-flood的其他办法：
1.修改内核参数，增大半连接队列的大小，重新编译内核
2.修改配置，减少SYN-ACK重传次数，因为当服务端受到 SYN 攻击时，就会有大量处于 SYN_REVC 状态的 TCP 连接，处于这个状态的 TCP 会重传 SYN+ACK ，当重传超过次数达到上限后，就会断开连接。那么针对 SYN 攻击的场景，我们可以减少 SYN+ACK 的重传次数，以加快处于 SYN_REVC 状态的 TCP 连接断开。