SYN Flood攻击通过伪造源IP地址，利用TCP三次握手的半连接状态，大量消耗服务器资源，使合法用户无法访问服务。
SYN Flood攻击原理与三次握手的关系
TCP三次握手是可靠连接的基础，但它的每个步骤都可能成为攻击者的突破口，SYN Flood攻击正是盯上了这个过程中的资源预留机制。
SYN Flood攻击原理是什么？
三次握手常规流程是：客户端发SYN，服务器回复SYN-ACK，客户端再回ACK，连接建立，服务器在收到SYN后，会分配一个半连接条目，并等待对方的ACK，如果ACK迟迟不来，这个半连接会保留一段时间，直到超时释放，攻击者大量发送伪造源IP的SYN包，服务器回应SYN-ACK到虚假地址，自然等不到ACK，半连接越积越多，最终占满连接表，新连接无法建立，这就是SYN Flood的核心攻击原理。
为什么攻击者要伪造源地址？
伪造源IP有两个关键目的，一是隐藏自己，防止被溯源和拦截，二是确保服务器无法收到ACK，从而让半连接持续存在，如果使用真实IP，服务器最终会收到ACK（如果主机在线），攻击就会失效，伪造的IP通常是随机或不可达的，服务器尝试重发SYN-ACK几次后才会放弃，但资源已经被占用了一段时间。
检测与防御SYN Flood的实用方法
面对SYN Flood，单靠系统默认配置远远不够，需要从检测、调优到专业防护层层推进。
如何有效防御SYN Flood？
开启SYN Cookie是最经典且有效的系统级防御，Linux下执行`sysctl -w net.ipv4.tcp_syncookies=1`即可启用，SYN Cookie不分配半连接，而是将连接信息编码在SYN-ACK序号中，收到ACK后重建连接，这能抵御纯SYN Flood，但会消耗CPU计算哈希，并禁用部分TCP选项（如大窗口），对于大多数业务，影响可忽略。
调整TCP参数也能缓解攻击，减小net.ipv4.tcp_synack_retries（重试次数）和net.ipv4.tcp_max_syn_backlog（最大半连接数）能更快释放资源，增大net.core.somaxconn和net.ipv4.tcp_syncookies配合使用,效果更佳。
选择专业防护方案的成本考虑
对于中大型企业，系统层防御往往不够，需要引入专业DDoS防护设备或云清洗服务，国内高防服务器价格根据带宽和防御能力差异较大，从每月几千元到数万元不等，地域因素也很明显，北京、上海的高防机房价格普遍高于二三线城市，行业共识认为，在预算允许的情况下，选择有SYN Flood专项防护能力的服务商更经济，下表对比了三种主流防御方式：
| 防御方式 | 优点 | 缺点 | 适用场景 |
|---|---|---|---|
| SYN Cookie | 零成本，系统自带 | 增加CPU开销，不兼容部分TCP选项 | 中小型服务器，流量可控 |
| 调整TCP参数 | 简单易行，可定制 | 效果有限，只能缓解 | 所有服务器都应基础配置 |
| 专业防护设备/服务 | 防护能力强，支持大流量清洗 | 成本高，需要长期投入 | 大型企业，高价值业务 |
SYN Flood攻击的常见场景与表现
游戏服务器是SYN Flood重灾区
游戏行业对连接延迟和稳定性要求极高，一次SYN Flood就能让玩家集体掉线，上海、杭州等游戏公司聚集的地区，经常遭受针对性攻击，业内专家指出，SYN Flood是DDoS攻击中最常见的手法之一，游戏服务器首当其冲，攻击者往往利用游戏开服、活动期间发起攻击，勒索或破坏竞争对手。
企业如何判断是否被SYN Flood攻击？
- 使用`netstat -anp | grep SYN_RECV | wc -l`查看半连接数，如果异常偏高（如超过平时数十倍），很可能正在遭受攻击。
- 用`tcpdump -i eth0 'tcp[tcpflags] & tcp-syn != 0'`抓包，观察SYN包是否来自大量随机IP，且没有后续ACK。
- 服务器CPU、内存占用不高，但网络连接数暴增，端口无法响应。
- 业务监控显示连接成功率下降，但流量带宽可能只有几G，说明攻击者针对的是连接数而非带宽。
Q&A：关于SYN Flood攻击的疑问
SYN Cookie会影响性能吗？
SYN Cookie会消耗CPU计算哈希，在极端大流量下可能成为瓶颈，同时它会禁用部分TCP扩展，如窗口缩放、时间戳，对高吞吐场景略有影响，现代操作系统已优化，一般业务下影响可忽略。
如何区分SYN Flood和正常流量？
正常流量中SYN包与ACK包比例大致均衡，而SYN Flood中SYN包数量远高于SYN-ACK包，正常连接会很快完成三次握手，SYN_RECV状态的连接数很少，如果大量SYN_RECV连接持续存在，且源IP分散，大概率是攻击。
SYN Flood和DDoS攻击有什么关系？
SYN Flood是DDoS攻击的一种常见类型，属于协议层攻击，它不依赖高带宽，而是通过耗尽服务器资源导致拒绝服务，很多DDoS攻击会混合使用SYN Flood、UDP Flood等多种手段，防御时需要区分对待。
SYN Flood攻击看似简单，但本质是利用了TCP三次握手的设计漏洞与伪造源地址的结合，从系统调优到专业防护,理解其原理是构建有效防御的第一步。