为什么我的web服务器会从某些客户端接收这么多TCP重置？

Question

我运行一个web服务器并记录删除的连接。有时，我会从我的一些客户端收到大量的TCP RST数据包，如下所示：

Feb 11 11:56:29 SRC=1.2.3.4 TTL=57 SPT=38383 DPT=80 WINDOW=0 RST URGP=0
Feb 11 11:56:29 SRC=1.2.3.4 TTL=57 SPT=38383 DPT=80 WINDOW=0 RST URGP=0
Feb 11 11:56:29 SRC=1.2.3.4 TTL=57 SPT=38383 DPT=80 WINDOW=0 RST URGP=0
Feb 11 11:56:29 SRC=1.2.3.4 TTL=57 SPT=38383 DPT=80 WINDOW=0 RST URGP=0
Feb 11 11:56:29 SRC=1.2.3.4 TTL=57 SPT=38383 DPT=80 WINDOW=0 RST URGP=0
Feb 11 11:56:29 SRC=1.2.3.4 TTL=57 SPT=38383 DPT=80 WINDOW=0 RST URGP=0
Feb 11 11:56:29 SRC=1.2.3.4 TTL=57 SPT=38383 DPT=80 WINDOW=0 RST URGP=0
Feb 11 11:56:29 SRC=1.2.3.4 TTL=57 SPT=38383 DPT=80 WINDOW=0 RST URGP=0
Feb 11 11:56:29 SRC=1.2.3.4 TTL=57 SPT=38383 DPT=80 WINDOW=0 RST URGP=0
Feb 11 11:56:29 SRC=1.2.3.4 TTL=57 SPT=38383 DPT=80 WINDOW=0 RST URGP=0
Feb 11 11:56:29 SRC=1.2.3.4 TTL=57 SPT=38383 DPT=80 WINDOW=0 RST URGP=0
Feb 11 11:56:30 SRC=1.2.3.4 TTL=57 SPT=38383 DPT=80 WINDOW=0 RST URGP=0

这是RST洪水攻击、DDOS攻击、TCP重置攻击还是其他现象？

Answer 1

有一些事情可能会发生。这可能与防火墙上的ECN有关，这可能会导致这种情况，但我可以向您保证，这可能不是任何类型的洪泛攻击或DDOS。

设备发送RST的原因之一是响应于接收封闭式套接字的数据包。

很难给出一个坚定而笼统的答案，因为TCP上的每一种可能的曲解从一开始就被访问过，而且各种各样的人都可能会插入RST来阻止流量。

但正如我之前所说的，这看起来更像是防火墙发出的请求。我不会担心的。你可以对SRC做更详细的调查，看看是谁在做什么。