本文主要是介绍TCP三次握手过程详解,希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!
三次握手过程:
客户端视角:
1.客户端调用connect,开启计时器,发送SYN包,如果重传超时,认为连接失败
2.如果收到服务端的ACK,则进入ESTABLISHED状态
3.清除重传计时器,发送ACK,开启保活计时器:如果再次收到ACK+SYN说明服务端没收到第三次握手包,进行了重传,此时客户端会重传ACK
注意:由于客户端在第二次握手成功后已经进入ESTABLISHED状态,认为连接已经建立,但如果第三次握手包ACK丢失,且服务端一直未能收到ACK(服务端重传包丢失,或客户端收到重传包但ACK仍丢失),服务端会因为重传次数上限而认为连接失败,重新进入listen,那么此时是一种半连接,客户端发送数据会失败
服务端视角:
1.listen()创建半连接队列和全连接队列
2.收到SYN包,如果半连接队列已满,丢弃该连接,否则为该连接创建一个socket加入到半连接队列中
3.回复SYN-ACK包,开启重传计时器
4.等待ACK,没有收到则重传SYN-ACK,重传上限后,认为连接失败,清除socket,回到listen状态
5.如果收到ACK,则进入ESTABLISHED状态
防御SYN泛洪攻击:
1. SYN Cookies
SYN Cookies是一种在服务器端防止SYN泛洪攻击的技术。当服务器收到SYN请求时,不直接为其分配资源,而是通过计算一种特殊的加密散列值(称为SYN Cookie)来生成一个SYN-ACK报文的序列号,发送给客户端。只有当客户端回应ACK时,服务器才真正为连接分配资源,并通过验证ACK中的序列号来确认连接的合法性。
- 优点:不需要维护大量的半连接状态,可以有效防止队列溢出。
- 缺点:可能会增加服务器的计算负担,并且在某些情况下(如选择确认SACK的使用)限制了TCP的功能。
2. 增加半连接队列的大小
通过增大服务器的半连接队列(backlog
)大小,可以增加服务器在短时间内能够处理的未完成连接的数量,从而在一定程度上缓解SYN泛洪攻击的影响。
- 优点:简单有效,能够承受更大规模的攻击。
- 缺点:只是暂时缓解,当攻击流量进一步增加时,效果有限。
3. 减少SYN-ACK重传次数
服务器可以通过减少SYN-ACK的重传次数和降低重传的超时时间来应对SYN泛洪攻击。这样可以减少半连接队列中停留时间过长的连接,从而尽快释放资源。
- 优点:快速清理无效连接。
- 缺点:可能会对网络条件较差的合法连接造成影响。
4. 启用防火墙或入侵检测系统(IDS/IPS)
防火墙和入侵检测系统可以检测并过滤掉异常的流量,从而在流量进入服务器之前将其拦截。
- 优点:可以在网络层或传输层提前处理攻击,减少服务器的负担。
- 缺点:配置和维护复杂,且可能存在误判的情况。
5. IP黑名单
通过检测和识别恶意IP,将其加入黑名单,阻止这些IP发送的SYN请求。
- 优点:直接阻断恶意流量。
- 缺点:难以应对分布式攻击(DDoS),并且误判风险较高。
6. 负载均衡和分布式架构
通过部署负载均衡器,将流量分散到多个服务器或分布式系统中,可以减轻单个服务器的负载压力,从而提高整体抗攻击能力。
- 优点:提高了系统的整体可用性和抗攻击能力。
- 缺点:需要额外的硬件或架构调整,增加了系统复杂性。
7. 速率限制(Rate Limiting)
可以配置服务器或网络设备对单个IP地址的SYN请求进行速率限制,防止单个IP地址在短时间内发送过多的连接请求。
- 优点:有效限制攻击者的请求速率。
- 缺点:可能影响到合法用户的正常请求,特别是在高并发情况下。
IP地址在短时间内发送过多的连接请求。
- 优点:有效限制攻击者的请求速率。
- 缺点:可能影响到合法用户的正常请求,特别是在高并发情况下。
推荐学习 https://xxetb.xetslk.com/s/p5Ibb
这篇关于TCP三次握手过程详解的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!