Linux服务器防DDoS技巧：内核优化全攻略

本文深入剖析Linux服务器抵御DDoS攻击（尤其是SYN洪水）的核心内核参数调优策略，不仅详解了tcp_syncookies、tcp_max_syn_backlog、somaxconn等关键参数的正确配置逻辑与常见误区（如SYN Cookies并非万能前置防护，而是在队列溢出时的兜底机制），还明确指出已被淘汰且高危的tcp_tw_recycle绝不可启用、tcp_tw_reuse的服务端无效性，以及rmem/wmem、conntrack、ICMP限速等易被忽视却极易引发翻车的参数陷阱；强调所有优化必须配套生效（sysctl -p）、协同监控（如/proc/net/sockstat和conntrack计数），并直击生产环境中“参数改了却无效”“开了syncookies仍被打挂”“TIME-WAIT异常激增”等典型顽疾的底层根源——真正把内核调优从玄学操作变为可验证、可追踪、可落地的防御工程。

直接改 /etc/sysctl.conf 不生效，是因为 Linux 启动后只读一次该文件；不执行 sysctl -p 或未正确加载配置目录，所有参数都只是文本，不会进入内核。

为什么 net.ipv4.tcp_syncookies=1 开了还是被 SYN Flood 打挂

SYN Cookies 是保命机制，不是前置拦截器——它只在 net.ipv4.tcp_max_syn_backlog 和 net.core.somaxconn 队列真正溢出时才触发。如果这两个值太小（比如默认 128 或 1024），攻击包根本到不了 Cookies 阶段就被内核静默丢弃了。

• 先确认当前值：sysctl net.ipv4.tcp_max_syn_backlog net.core.somaxconn
• 生产环境建议统一设为 65535，避免中间环节卡脖子
• tcp_syncookies 设为 1 即可；设为 2 会强制绕过队列检查，掩盖真实连接压力，反而不利于问题定位
• 别忘了配套缩短半连接超时：net.ipv4.tcp_synack_retries=3（默认 5），加快释放异常 SYN-RECV 状态

net.ipv4.tcp_tw_reuse 和 net.ipv4.tcp_tw_recycle 到底能不能开

tcp_tw_reuse=1 可以开，但仅对**主动发起连接的客户端**生效（比如服务器作为 HTTP 客户端调用第三方 API）；服务端监听场景下它不起作用。

tcp_tw_recycle=1 在 2019 年后的主流内核中已被移除，且即使旧版本也极度危险：它依赖 tcp_timestamps，在 NAT、负载均衡或任何存在多客户端共用源 IP 的环境里，会导致连接随机失败（典型现象是客户端发了 SYN，服务端不回 SYN-ACK）。

• 不要启用 tcp_tw_recycle，无论文档怎么写
• 如需加速 TIME-WAIT 回收，优先调低 net.ipv4.tcp_fin_timeout（例如设为 30），比强开回收更可控
• 监控 /proc/net/sockstat 中的 tw 数量，若持续高于 2w，说明连接模式本身需优化（比如加连接池、关 keepalive）

哪些参数一改就翻车，必须盯住副作用

内核网络参数不是越大越好，很多参数直接关联内存占用或协议行为，盲目调优等于给攻击者递刀。

• net.ipv4.tcp_rmem 和 net.ipv4.tcp_wmem 的 max 值别超过物理内存的 10%，否则可能触发 OOM killer 杀进程
• net.ipv4.ip_local_port_range 扩大端口范围（如 1024 65535）有用，但最小值别设太低（1024 是底线），否则和常用服务端口冲突
• net.ipv4.icmp_echo_ignore_all=1 虽能防 ICMP Flood，但也让基础 ping 失效；更稳妥的是限速：net.ipv4.icmp_ratelimit=100
• net.ipv4.conf.all.rp_filter=1 启用严格反向路径过滤，但要求路由对称；非网关机器建议逐接口设置并验证，否则可能误丢合法包

最常被忽略的一点：所有内核参数调优都必须配合连接跟踪表（nf_conntrack）容量控制。哪怕 TCP 参数全调优到位，net.netfilter.nf_conntrack_max 设太小或没监控 /proc/sys/net/nf_conntrack_count，一样会在连接高峰时因 conntrack 表满而静默丢包——这个坑，比 SYN 队列还难排查。

文中关于的知识介绍，希望对你的学习有所帮助！若是受益匪浅，那就动动鼠标收藏这篇《Linux服务器防DDoS技巧：内核优化全攻略》文章吧，也可关注golang学习网公众号了解相关技术文章。