TG咨询服务器突然无法建立新的TCP连接，既可能是带宽被占满，也可能是连接队列被大量半连接占用。SYN Flood攻击的特点是发送大量SYN请求，却不完成后续握手，使服务器持续保留连接状态。有效的SYN Flood攻击缓解不能只依赖一条防火墙规则，而应根据流量入口、业务端口和可用设备分层处理。
下面的八种方法可以单独使用，也可以组合部署。调整前应先确认受影响的TCP端口，例如网站常用的443端口、API使用的8443端口或远程管理使用的22端口，避免把正常客户端一起拦截。
一、使用运营商或云端清洗服务
当攻击流量已经超过机房出口或云主机网卡承载能力时，本地主机无法有效处理。可将业务IP接入具备DDoS清洗能力的云服务，通过BGP引流、代理接入或DNS切换，把异常连接在上游丢弃。
- 确认清洗服务支持TCP SYN攻击，并核对可防护的端口范围。
- 准备源站白名单，只允许清洗节点访问源站业务端口。
- 切换流量后观察真实客户端成功率、延迟和源站连接数，再决定是否长期启用。
这种方法适合公网业务和大流量攻击，但通常需要额外服务成本，并且代理模式可能影响源IP获取、长连接或证书配置。
二、在边界防火墙实施速率限制
防火墙可以按目标端口、源地址、接口和时间窗口限制SYN速率。例如仅对公网开放443端口，对22端口限制来源网段。相比直接封禁所有陌生地址，速率限制更适合用户来源分散的门户网站。
规则应先以记录模式观察，再逐步启用丢弃或限速。企业防火墙、云安全组和Linux nftables都能承担部分工作，但不同设备对连接跟踪表和每秒新建连接的支持不同，不能直接照搬同一数值。
三、启用SYN Cookies
SYN Cookies不在收到第一个SYN时立即为每个请求分配完整连接状态，而是把必要信息编码到返回的SYN-ACK序列号中，只有客户端回ACK后才建立连接。Linux系统可通过内核网络参数启用相关保护，具体参数名称和默认值应以当前发行版文档为准。
它适合服务器本身CPU和出口尚有余量、主要问题是半连接占满的场景。局限是它不能消除上游带宽拥塞，也可能减少部分TCP扩展信息，因此应在变更后检查MSS、窗口扩展和应用连接稳定性。
四、合理调整TCP连接队列
适当增大监听队列和SYN队列，可以为短时突发流量留下缓冲，但这不是无限扩容。队列过大可能增加内存消耗，并延后问题暴露。调整时应同时查看应用监听参数、内核上限和网卡队列，三者中任意一项过小都会成为瓶颈。
- 记录攻击前后的半连接数、监听队列溢出和新建连接失败情况。
- 小幅调整内核与应用队列参数，重载服务而不是盲目重启整台主机。
- 在业务低峰进行压测或观察，确认正常用户的建连时延没有明显恶化。
五、部署SYN Proxy
SYN Proxy由前置设备代替源站完成初步TCP握手，只有通过握手的客户端才被转发到后端。它适合源站连接资源有限、但边界设备具备连接代理能力的场景，常见于专业防火墙、负载均衡设备或Linux网络方案。
与SYN Cookies相比，SYN Proxy更靠近网络入口，能够减少后端收到的伪造握手；但它会消耗代理设备自身资源，并可能影响源IP透传、TLS直连和WebSocket等长连接业务，启用前必须验证协议兼容性。
六、增加负载均衡和入口分散能力
将多个应用节点置于HAProxy、Nginx或硬件负载均衡器后面，可以分摊合法连接和部分攻击压力。对于跨地域业务，可使用多个入口或Anycast网络缩小单点故障范围，但这只能分散压力，不能替代清洗和过滤。
部署时要检查负载均衡器的SYN处理能力、后端健康检查、会话保持和故障切换。若所有入口仍共享一条低容量上联，增加后端服务器不会解决链路拥塞。
七、收紧暴露面并增加访问控制
减少公网监听端口是成本较低的防护手段。数据库、管理面板和内部API应放入私有网络；SSH可通过VPN、堡垒机或固定办公网段访问。对必须公网开放的服务，应区分生产、测试和管理入口，避免一个地址承载全部端口。
这项措施不能单独抵御针对443端口的攻击，却能减少可被探测和消耗的服务数量，也便于防火墙制定更精确的规则。
八、建立监控、告警与应急切换流程
监控不只是看CPU。应持续记录SYN接收速率、半连接数量、握手成功率、监听队列溢出、连接建立时延、丢包和各入口带宽。正常业务高峰也可能产生大量SYN，因此要结合登录成功率、HTTP状态码和应用请求量判断。
- 预先定义告警阈值，并为不同业务端口建立各自基线。
- 准备清洗引流、临时封禁和关闭非核心端口的审批路径。
- 攻击结束后撤销临时规则，检查误封客户端、日志增长和连接残留。
如何按场景选择
| 场景 | 优先方法 | 主要注意事项 |
|---|---|---|
| 出口或链路被打满 | 上游清洗、入口分散 | 本地调参无法恢复已拥塞的链路 |
| 服务器半连接耗尽 | SYN Cookies、SYN Proxy、队列调整 | 检查内存、CPU和协议兼容性 |
| 管理端口暴露过多 | 访问控制、私有网络、VPN | 保留可靠的应急管理通道 |
| 短时突发且规模有限 | 边界限速、监控告警 | 逐步收紧规则，避免误伤正常用户 |
常见问题
1. SYN Cookies开启后就不会被攻击吗？
不会。它主要保护连接状态资源，无法解决带宽、网卡或上游设备已经拥塞的问题。
2. 是否应该直接封禁大量源IP？
不建议作为默认方案。SYN报文可能使用伪造源地址，单纯封禁源IP效果有限，还可能误伤共享出口后的正常用户。
3. 增大连接队列是不是越大越好？
不是。队列只能吸收有限的短时峰值，过大可能消耗内存并增加排队延迟。
4. 小型网站最先做什么？
先关闭不必要的公网端口，启用主机侧保护并配置监控；若链路经常被打满，再考虑上游清洗。总之，SYN Flood攻击缓解应把源头过滤、主机保护和应急流程结合起来。
