Назад | Перейти на главную страницу

Атаки SynFlood: сколько пакетов в секунду возможно на Мбит?

Я был бы очень полезен для точного расчета / формулы, как рассчитать, сколько SYN-пакетов может быть отправлено на 1 Мбит полосы пропускания:

1.) Каков размер (в байтах) одного SYN-пакета = 20 байтов? http://de.wikipedia.org/w/index.php?title=Datei:TCP_Header.svg&filetimestamp=20070706210301 Верно ли, что первые ПЯТЬ строк, каждая из которых имеют 4 байта = 20 байтов в целом? Кроме того, правильно ли, что не должно быть полезной нагрузки, а пакет, содержащий только заголовок, действителен?

2.) Можно ли разделить 1 Мбит / число байтов на синхронизацию для получения правильного результата? (1000 000/8/20 ==> 6250 SYN в секунду ???)

3.) Или есть другие ограничивающие факторы, которые резко уменьшат количество SYN-пакетов на 1 Мбит? (так что рассчитанное число на практике будет намного меньше.) Что это может ограничивать это число?

4.) Существуют ли какие-либо обязательные инструменты для защиты моего сервера от атак Syn (linux / debian). Я реализовал некоторые базовые вещи в iptables, но не знаю, действительно ли это поможет ... Лучше было бы фильтровать на серверах "Frontend / Gateway"? Какие коммерческие продукты предлагают фильтрацию SYN-Flood, я был бы признателен, если бы вы могли назвать некоторые конкретные продукты.

Спасибо Ян

  1. ваше предположение верно в том, что SYN-пакет не должен нести никакой полезной нагрузки и, чтобы быть строгим, даже не должен иметь никаких параметров, таким образом, имея только заголовок TCP. Но размер пакета не будет составлять 20 байтов, поскольку TCP будет встроен в IP-пакет, добавив как минимум 20 байтов заголовка. Любой реальный SYN дополнительно будет иметь параметры для MSS, значения временной метки и набора значений ECR, в результате чего типичный размер пакета составляет около 60 байтов. Если интересно, вы можете использовать tcpdump для просмотра трафика: tcpdump -v -n -p tcp and 'tcp[13] & 2 == 2'
  2. Не совсем так - вам придется учитывать дополнительные накладные расходы протокола (размер заголовка и контрольной суммы вашего уровня канала данных - например, Ethernet обычно добавляет еще 31 байт)
  3. SYN файлы cookie и Транзакции TCP Cookie зарекомендовали себя как эффективный механизм против атак SYN flood. Реализация Ограничение скорости SYN если ваши клиенты не поддерживают TCPCT и страдают от ограничений, которые несет с собой SYN-куки, просто создадут еще один вектор DoS-атаки, что не рекомендуется.