每分钟- 80端口上可能出现的SYN洪水

Question

在我们的Linux服务器上，我们不时会收到众所周知的SYN洪流消息：

possible SYN flooding on port 80

这可能不是攻击，因为网站流量很大。

然而，从一段时间以来，这些信息开始每隔60秒发送一次。我的意思是：

Aug 16 01:22:44 amadeus kernel: possible SYN flooding on port 80. Sending cookies.
Aug 16 01:23:45 amadeus kernel: possible SYN flooding on port 80. Sending cookies.
Aug 16 01:25:05 amadeus kernel: possible SYN flooding on port 80. Sending cookies.
Aug 16 01:26:06 amadeus kernel: possible SYN flooding on port 80. Sending cookies.
Aug 16 01:27:13 amadeus kernel: possible SYN flooding on port 80. Sending cookies.
Aug 16 01:28:13 amadeus kernel: possible SYN flooding on port 80. Sending cookies.
Aug 16 01:29:14 amadeus kernel: possible SYN flooding on port 80. Sending cookies.
Aug 16 01:30:39 amadeus kernel: possible SYN flooding on port 80. Sending cookies.
Aug 16 01:31:41 amadeus kernel: possible SYN flooding on port 80. Sending cookies.
Aug 16 01:32:53 amadeus kernel: possible SYN flooding on port 80. Sending cookies.
Aug 16 01:33:57 amadeus kernel: possible SYN flooding on port 80. Sending cookies.
Aug 16 01:35:03 amadeus kernel: possible SYN flooding on port 80. Sending cookies.
Aug 16 01:36:27 amadeus kernel: possible SYN flooding on port 80. Sending cookies.
Aug 16 01:37:30 amadeus kernel: possible SYN flooding on port 80. Sending cookies.
Aug 16 01:38:44 amadeus kernel: possible SYN flooding on port 80. Sending cookies.

这到底是偶然还是意外？由于流量，我不会担心大量的“可能的SYN洪水”消息，但这些是每60秒。

以下是我们在/etc/rc.local中的自定义设置

# 3M
echo 3145728 > /proc/sys/net/netfilter/nf_conntrack_max

# 256k
echo 262144 > /proc/sys/net/ipv4/tcp_max_orphans

echo 1048576 1572864 4194304 > /proc/sys/net/ipv4/tcp_mem

# Neighbour Table Overflow
echo  4096 > /proc/sys/net/ipv4/neigh/default/gc_thresh1
echo  8192 > /proc/sys/net/ipv4/neigh/default/gc_thresh2
echo 16384 > /proc/sys/net/ipv4/neigh/default/gc_thresh3

echo 1 > /proc/sys/net/ipv4/tcp_tw_reuse
echo 1 > /proc/sys/net/ipv4/tcp_tw_recycle

# Disable ip_forward
echo "0" > /proc/sys/net/ipv4/ip_forward

# Enable SYN Cookies
echo "1" > /proc/sys/net/ipv4/tcp_syncookies

echo 40 > /proc/sys/net/netfilter/nf_conntrack_tcp_timeout_syn_recv

(如果这个问题是重复的，很抱歉，但我没有发现类似的问题)。

Answer 1

我读了一遍相似问题和所有答案，我认为您应该尝试一下@Jeff在他的答案(这不是可接受的答案)中的意思，这增加了运行在端口80上的两个应用程序的侦听积压。

在填充传入连接的“队列”或“待办事项”时，该消息似乎会发生。

例如：对于apache2，他写道：

为了解决这个问题，我将以下行添加到/etc/apache2/ports.conf或由apache加载的其他.conf文件中(/etc/apache2/apache2.conf也应该可以)：

ListenBackLog 5000

，然后将tcp_max_syn_backlog提升到相同的

sudo sysctl -w net.ipv4.tcp_max_syn_backlog=5000