Linux内核中影响tcp三次握手的一些协议配置

在Linux的发行版本中，都存在一个/proc/目录，有的也称它为Proc文件系统。在 /proc 虚拟文件系统中存在一些可调节的内核参数。这个文件系统中的每个文件都表示一个或多个参数，它们可以通过 cat 工具进行读取，或使用 echo 命令进行修改。下面给出了几个可调节的参数是关于Linux TCP/IP 栈的参数，相关的帮助可以通过man tcp或info tcp获取。在这个目录中，包括了一些特殊的文件，不仅能用来反映内核的现行状态和查看硬件信息，而且，有些文件还允许用户来修改其中的内容，以调节内核的现行工作状态，例如/proc/sys/子目录下的文件。与/proc/目录中其它目录不相同的是，/proc/sys/目录下的文件不仅能提供系统的有关信息，而且还允许用户立即停止或开启内核的某些特性及功能。在/proc/sys/目录中的/proc/sys/net/子目录更是与网络息息相关，我们可以通过设置此目录下的某些文件来开启与网络应用相关的特殊功能，同时，也可以通过设置这个目录下的某些文件来保护我们 的网络安全。本文主要介绍 会影响tcp建立连接三次握手的一些因素：

1  /proc/sys/net/ipv4/tcp_max_syn_backlog    （1024）

该变量控制每个监听端口接收的客户端发送的SYN队列的长度，输入的SYN报文段连接请求需要排队，直到本地服务端接收，如果连接数多于默认值，则新来的连接请求会被丢弃，在服务端会维护一个未连接队列，该队列为每个客户端发送的SYN包开设一个条目，说明已经收到SYN包，并且向客户端发出SYN+ACK包，等待客户端的确认SYN包，这时服务端出于SYN_RECV状态，如果tcp_max_syn_backlog过小，一直收不到客户端最后发来的SYN确认包，服务端就会一直出于SYN_RECV状态，查看netstat -an的时候如果SYN_RECV过多有可能就是tcp_max_syn_backlog过小。www.169it.com

2  /proc/sys/net/ipv4/tcp_synack_retries    （5）

该变量控制内核向某个输入的SYN/ACK段重新发送响应的次数，降低取值可以更早的检测到客户端连接失败的尝试。

3  /proc/sys/net/ipv4/tcp_retries2   （15）

该变量控制内核向已经建立连接的远程主机重新发送数据的次数，降低取值可以更早的检测到与远程主机的连接失效，从而可以快速释放该链接的资源。

4  /proc/sys/net/ipv4/ip_local_port_range   （32768   61000）

该变量控制系统上可用的临时端口的范围。端口是ip协议对各个socket加以区分的地址的逻辑抽象。

5  /proc/sys/net/ipv4/tcp_retries1   （3）

该变量设置放弃回应一个tcp连接请求前，需要进行多少次重试。

6  /proc/sys/net/ipv4/tcp_syncookies  （0 关闭  1 打开）

该参数主要用来防止SYN FLOOD攻击。SYN Cookie是对TCP服务器端的三次握手协议作一些修改，专门用来防范SYN Flood攻击的一种手段。它的原理是，在TCP服务器收到TCP SYN包并返回TCP SYN+ACK包时，不分配一个专门的数据区，而是根据这个SYN包计算出一个cookie值。在收到TCP ACK包时，TCP服务器在根据那个cookie值检查这个TCP ACK包的合法性。如果合法，再分配专门的数据区进行处理未来的TCP连接。

本文来源:Linux内核中影响tcp三次握手的一些协议配置