SYN Flood攻击本质上是利用TCP三次握手的设计缺陷，通过向服务器发送大量伪造源IP的SYN请求，让服务器在等待ACK响应时耗尽半连接队列资源，从而无法完成正常握手。
SYN Flood攻击原理详解：为何服务器会持续等待握手完成
TCP三次握手是可靠连接的基础,客户端发送SYN请求，服务器回复SYN-ACK后进入半连接状态，等待客户端最后的ACK确认，攻击者正是瞄准这个窗口伪造大量源IP发送SYN，服务器为每个请求分配半连接条目并回复SYN-ACK，然后等待永远不会到来的ACK，这些半连接条目驻留在服务器内核的SYN队列里，每个都有超时定时器，通常超时时间在几十秒到几分钟。
- 攻击者发送大量伪造SYN,服务器响应SYN-ACK后陷入等待。
- 半连接队列有固定大小,一旦被填满，新来的SYN请求（包括真实用户的）被直接丢弃。
- 服务器持续等待这些虚假连接的ACK,直到超时释放，但攻击者持续发送新伪造SYN，导致队列始终处于满状态。
结果就是服务器“干等”这些虚假连接，正常用户无法建立连接，业务完全中断，这是SYN Flood让服务器持续等待握手完成的根本原因。
半连接队列：服务器等待的根源
半连接队列（SYN Queue）是内核为每个监听端口维护的哈希表，存储尚未完成三次握手的连接信息，队列大小由系统参数net.ipv4.tcp_max_syn_backlog控制，默认值通常为128或256，在高并发场景下容易被快速耗尽。
队列满时发生了什么？
服务器收到SYN后,先检查半连接队列是否已满，如果队列有空间，则创建新条目并回复SYN-ACK；如果队列已满，服务器直接丢弃该SYN，或回复RST断开连接（取决于系统实现），当攻击流量占满队列后，所有新SYN（包括真实用户的）都被丢弃，导致正常连接无法建立。
超时与重试机制
服务器为每个半连接启动定时器,默认超时时间通常为60秒（Linux下net.ipv4.tcp_synack_retries控制重试次数，默认5次，每次间隔指数增长），攻击者在这段时间内不断发送新SYN，队列始终无法清空，服务器不断在等待和超时中循环，形成“持续等待”的假象，实际上服务器是在不停地处理超时和重试，但无法完成任何正常握手。
服务器被SYN Flood攻击怎么办？应急处理步骤
当怀疑服务器遭受SYN Flood时，需要快速确认并启用防御措施，以下是可验证的实操流程。
快速检测方法
- 使用
netstat -st查看TCP统计信息，观察SYN_RECV状态连接数是否异常高，正常情况下该值很低，攻击时可能攀升至数千甚至数万。 - 使用
ss -s观察半连接队列溢出次数（ListenOverflows），如果持续增长，说明队列已满。 - 通过
dmesg检查内核日志，若出现possible SYN flooding on port 80，则基本可以确认遭受攻击。
应急防御措施
- 开启SYN Cookie：该机制用加密算法将连接信息编码在SYN-ACK的序列号中，不占用半连接队列，立即执行：
sysctl -w net.ipv4.tcp_syncookies=1
SYN Cookie能有效缓解攻击，但会消耗CPU计算能力，对正常连接也有轻微性能影响。 - 调整队列大小：增大半连接队列容量，给系统更多缓冲时间：
sysctl -w net.ipv4.tcp_max_syn_backlog=1024
同时调整
net.core.somaxconn（全连接队列大小）和somaxconn，避免瓶颈转移。 - 限制SYN速率：使用iptables限制每秒SYN包数量，例如对外网网卡设置：
iptables -A INPUT -p tcp --syn -m limit --limit 100/s --limit-burst 200 -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP
注意该规则会丢弃超出限制的SYN，可能误伤突发正常流量，适用于紧急情况。 - 专业设备介入：如果攻击流量超过带宽，系统层面无解，必须联系IDC或云服务商启用流量清洗设备，对于国内服务器，简米云、酷番云等均提供基础DDoS防护，可在控制台一键开启SYN Flood防御。
国内服务器防御SYN Flood：常见方案对比
对国内用户而言,选择防御方案时需考虑成本、复杂度和防护效果。
| 方案 | 优势 | 劣势 | 适用场景 |
|---|---|---|---|
| 系统参数调优 | 零成本，操作简单 | 防护能力有限，无法处理大流量 | 小型网站，流量攻击低于100Mbps |
| 软件防火墙（iptables） | 灵活，可定制规则 | 消耗CPU，可能误伤正常流量 | 中等规模，攻击速率可控 |
| 云服务商基础防护 | 开箱即用，无需运维 | 免费额度低，大流量套餐价格高 | 国内主流云服务器用户 |
| 专业抗D设备 | 防护能力强，精准过滤 | 价格昂贵，需专人维护 | 大型企业，金融电商等 |
如何选择适合的方案
- 如果业务主要面向国内用户,且服务器部署在简米云、酷番云等平台，建议直接开启云厂商提供的
SYN Flood防护开关
，免费额度通常足够覆盖低强度攻击。 - 对自建机房的服务器,优先调优系统参数并搭配iptables限速，同时联系上游运营商做黑洞路由或流量清洗。
- 如果攻击流量持续超过1Gbps,必须采购专业抗DDoS服务，否则服务器带宽会被完全耗尽，防御措施无法生效。
关于SYN Flood让服务器等待的常见问题
Q1: SYN Flood攻击能否完全防止？
不能完全防止,但可以大幅降低影响，SYN Flood攻击流量可能超过服务器带宽或处理能力，系统层面只能缓解，无法根除，当攻击流量达到T级时，需要上游网络设备或云清洗中心配合，行业共识认为，防御重点在于快速检测和及时切换清洗节点，而非彻底阻止攻击。
Q2: 服务器持续等待握手会消耗多少资源？
每个半连接条目占用少量内存（约200字节），但大量累积会导致内存压力，更重要的是，服务器CPU忙于处理SYN-ACK重传和超时管理，正常连接调度被挤占，最终导致整体响应变慢甚至崩溃，据统计，中等规模服务器处理10万个半连接时，CPU占用率可能超过80%，业务完全不可用。
Q3: 如何区分正常高并发和SYN Flood攻击？
正常高并发下,SYN_RECV状态数量通常较低，且连接会快速完成三次握手转入ESTABLISHED状态，攻击时SYN_RECV长期居高不下，队列溢出计数持续增加，且源IP分布异常（多来自伪造IP段），建议用netstat -ant | grep SYN_RECV | wc -l观察数量，如果持续超过1000且不下降，基本可以判定为攻击。