传输层通过状态检测、连接速率限制以及TCP握手特征分析，能够在保障正常业务访问的前提下，精准拦截异常新连接，核心在于区分正常访问与恶意探测的差异。
传输层拦截异常新连接不误杀方案
传输层工作在OSI第四层，直接处理TCP/UDP连接建立与拆除，要拦掉异常新连接又不误杀正常请求，需要从连接建立的特征入手,而不是简单丢包。
状态检测防火墙：保持连接表
状态检测是基础，防火墙维护一张连接状态表，记录每个TCP连接的状态（SYN_SENT、ESTABLISHED、FIN_WAIT等），只有符合三次握手顺序的包才能通过，孤立的SYN或ACK包会被丢弃，这种方式天然过滤掉大量扫描包，但需要确保连接表老化时间合理,否则突发正常连接可能因表满而丢包。
- 配置连接表最大条目：根据服务器内存和并发量调整，避免“连接表满”导致新连接被拒。
- 设置老化时间：TCP三次握手未完成的半连接，等待时间设为10-30秒，太短会误杀长连接,太长容易耗尽资源。
- 启用SYN Cookie：在连接表满时自动启用，用加密计算替代表存储,不丢任何正常SYN。
速率限制：控制新连接建立速度
异常连接往往在短时间内发起大量新连接，速率限制能有效抑制,同时不干扰正常用户缓慢的请求。
- 基于源IP的速率限制：使用iptables connlimit模块，限制每个IP每分钟的新连接数。
iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 10 --connlimit-mask 32 -j DROP这个规则限制每个IP最多10个并发新连接，超过则丢弃，搭配动态阈值，根据历史流量调整,避免误杀网吧或NAT后的用户。
- 全局新连接速率：使用hashlimit模块，限制所有IP的总新连接速度。
iptables -A INPUT -p tcp --syn -m hashlimit --hashlimit-above 1000/sec --hashlimit-burst 2000 --hashlimit-mode srcip --hashlimit-name synlimit -j DROP
允许每秒最多1000个新SYN，突发2000个，超出后丢包,正常业务峰值时应调整到更高阈值。
TCP握手特征分析：识别异常指纹
攻击工具常使用非标准TCP栈，比如特定MSS值、窗口大小、TTL等，通过分析握手包的特征,可以区分真实用户与恶意扫描器。
- 检查TCP MSS值：正常客户端通常使用1460或1380，攻击工具可能设置为固定值如1400,可以在iptables中丢弃MSS小于某值的SYN包。
- 检查窗口大小：常见攻击工具使用固定窗口如65535，而真实系统窗口动态变化，但需注意，有些正常设备也使用固定窗口,所以需要结合其他特征。
- 检查IP ID和TCP序列号：攻击工具可能使用线性递增的IP ID，而正常系统随机化，但此方法误报率较高,建议仅用于辅助判断。
不误杀正常连接的配置技巧
误杀通常发生在阈值设置过严或特征匹配过宽,以下技巧能显著降低误杀率。
白名单与动态阈值
- 白名单：对已知可靠IP（如合作方、管理员、内部系统）直接放行，不经过速率限制和特征检测，配置在IPTABLES最前面：
iptables -A INPUT -s 192.168.0.0/16 -j ACCEPT - 动态阈值：基于基线学习，自动调整速率限制值，正常业务流量有波动，夜间和促销期阈值不同，使用类似extend模块或自定义脚本,每日更新阈值。
指纹识别与客户端验证
- TLS指纹：对于HTTPS服务，利用TLS握手时的ClientHello特征（如密码套件顺序、压缩算法）识别浏览器，攻击工具通常缺少这些特征，但需要在传输层通过后，在应用层验证,但可以提前记录。
- TCP question：向客户端发送一个需要特定应答的包，只有真正浏览器能正确回复，伪造源IP的攻击者无法回应，这种方法几乎零误杀，但增加延迟,适合高安全场景。
- 网络命名空间隔离：将不同业务拆分成独立网络命名空间，每个空间有自己的连接追踪表,避免一个业务的异常新连接影响其他业务。
多级检测联动
传输层不应单独做最终决定，应配合应用层检测,降低误判。
- 传输层做初步过滤：丢弃明显异常的新连接（如速率超限、特征错误）。
- 应用层做二次确认：对传输层放行的连接，使用WAF或IDS检测HTTP头、payload，如果发现攻击,再主动切断连接。
- 日志回馈：应用层发现的误判（如用户因速率限制被拒），反馈给传输层调整阈值,形成闭环。
常见场景下异常新连接拦截方案
不同场景需要不同策略,以下三个场景覆盖大部分需求。
SYN Flood防护：不误杀的关键参数
SYN Flood是典型的异常新连接攻击，传统防护是随机丢包，但误杀率高，推荐使用SYN Cookie + 连接速率限制的组合。
- 设置SYN Cookie：在Linux中默认开启，当半连接队列满时自动启用，但需要确保net.ipv4.tcp_syncookies=1。
- 调整半连接队列大小：增大net.core.somaxconn和net.ipv4.tcp_max_syn_backlog,允许更多合法SYN进入队列。
- 对每个IP的SYN并发做限制：使用connlimit，并设置合理的上限，如50个并发SYN，超过则丢弃,大多数正常用户不会超过这个值。
端口扫描检测：设置阈值避免误报
端口扫描器会发送大量SYN到不同端口，但正常用户也可能扫描（如工具）,最佳实践是结合IP信誉。
- 设置新连接速率阈值：对每个IP每分钟发往不同端口的SYN数量，超过
100
个则视为可疑，但不要直接丢包,改为限速或记录。 - 使用连接追踪的“未完成连接”数量：一个IP有大量半连接（SYN_RECV）且未完成握手，说明可能扫描，当数量超过20时,暂时将该IP加入黑名单。
- 动态白名单：如果后续该IP完成了几个正常连接，自动移除黑名单,避免误杀。
云端与本地设备协同
对于大型网站，单靠本地设备难以应对大流量攻击，本地传输层做第一道防线,云端做流量清洗。
- 本地设备检测异常新连接，将攻击流量特征同步到云端清洗中心（如使用BGP或API）。
- 云端清洗中心根据特征过滤,只放行干净流量到本地。
- 本地设备只处理正常流量，连接表压力小,误杀率低。
传输层异常连接拦截常见问题
传输层如何区分正常连接与异常连接？
通过状态检测，只允许符合TCP三次握手顺序的包通过，同时结合速率限制，对短时间内大量新连接进行减速或限流，异常连接通常表现为大量孤立SYN包或非标准TCP特征。
如何避免将突发正常流量误判为攻击？
使用动态阈值，根据历史流量基线调整，并设置白名单将可靠IP排除在检测之外，采用多级检测，传输层只做初步过滤，应用层进行二次确认，减少误判。
配置传输层过滤时，是否需要调整应用层规则？
需要，传输层规则是基础，但应用层规则能弥补传输层的不足，传输层可能放行合法新连接，但应用层发现恶意内容后可以主动切断连接，两者联动能实现零误杀。
通过状态检测、速率限制和指纹识别，传输层能够在毫秒间识别异常新连接，同时确保正常业务不受影响,这是现代网络安全的第一道防线。