SYN Flood 是最經典、最高發的 DDoS 攻擊之一（2000 年癱瘓 Yahoo）。利用 TCP 三次握手協議缺陷，成本低、效果劇烈。全面理解原理並部署多層防禦，方能有效緩解。

TCP 三次握手與關鍵佇列

1. 客戶端 → 服務端：SYN=j → 客戶端進入 SYN_SENT。
2. 服務端 → 客戶端：SYN=k, ACK=j+1（SYN+ACK） → 服務端在半連接佇列建立條目，狀態 SYN_RECV。
3. 客戶端 → 服務端：ACK=k+1 → 雙方進入 ESTABLISHED，半連接佇列條目移除。

關鍵參數：

• Backlog（半連接佇列長度）：預設較小（如 128/256），滿即丟棄新 SYN。
• SYN-ACK 重傳次數：Linux net.ipv4.tcp_synack_retries（預設 5），每次等待時間指數增長（1s, 2s, 4s, 8s, 16s...），總等待時間約 63 秒。
• 半連接存活時間：所有重傳等待總和，超時則丟棄條目。

SYN Flood 攻擊原理

• 攻擊者偽造大量不存在/不可達來源 IP，高頻發送 SYN 包。
• 服務端回應 SYN+ACK，等待 ACK，半連接佇列迅速填滿。
• 正常用戶 SYN 被丟棄，服務拒絕服務（緩慢、超時、癱瘓）。
• 配合 IP 欺騙，攻擊者無需接收回應包，極難追蹤。

多層防禦體系

1. 作業系統內核調優（Linux 為例）

/etc/sysctl.conf
# 啟用 SYN Cookie（佇列滿時不建立條目，直接回攜帶加密 Cookie 的 SYN+ACK，合法客戶端回 ACK 含 Cookie 才建立連接）
net.ipv4.tcp_syncookies = 1
# 增大半連接佇列
net.ipv4.tcp_max_syn_backlog = 8192
# 減少 SYN+ACK 重傳次數（加速清理偽造連接）
net.ipv4.tcp_synack_retries = 3
# 啟用 TCP Fast Open（減少握手延遲，需客戶端支援）
net.ipv4.tcp_fastopen = 3
# 縮短 TIME_WAIT、擴大連接追蹤表
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_fin_timeout = 15
net.netfilter.nf_conntrack_max = 1000000

2. 防火牆/負載均衡器層面

• **速率限制**：iptables -A INPUT -p tcp --syn -m limit --limit 25/s --limit-burst 50 -j ACCEPT（根據業務基線調整）。
• **SYN Proxy**：防火牆/負載均衡器（F5、A10、Palo Alto、Cloudflare、AWS Shield）終止三次握手，僅轉發已建立連接至後端，完全屏蔽 SYN Flood。
• **連接數限制**：connlimit 模組限制單 IP 並發連接數。
• **黑名單/信譽庫**：自動封鎖掃描/攻擊源 IP（威脅情報餵養）。

3. 應用層與架構層

• 服務無狀態化、水平擴展、多可用區部署，單點承受力提升。
• 啟用 CDN（靜態資源卸載）、WAF（應用層規則）、API 閘道限流。
• 關閉不必要的 TCP 服務埠，減少攻擊面。

4. 雲端 DDoS 清洗服務

• 流量導流至清洗中心（BGP Anycast/DNS 切換），清洗後回注正常流量。
• 主流：Cloudflare、Akamai、AWS Shield Advanced、阿里雲/騰訊雲/華為雲高防 IP、Radware、Arbor、NSFOCUS。
• 預案演練：平時旁路監控，攻擊時秒級切換，定期實戰演練。

偵測與應急指標

• netstat -s | grep -i "embryonic\|SYN_RECV" 半連接數暴增。
• ss -s、watch -n1 'cat /proc/net/netstat' 觀察 TcpExtListenOverflows、TcpExtListenDrops、TcpExtTCPSynRetries。
• 日誌：防火牆/負載均衡器記錄大量 SYN_RECV、DROP 事件。
• 告警閾值：半連接佇列佔用 > 80%、SYN 接收率 > 基線 5 倍、新建連接成功率 < 50%。

SYN Flood 無法徹底根治（協議設計所限），但SYN Cookie + 速率限制 + SYN Proxy + 雲清洗 + 架構彈性組合拳，可將影響降至業務可接受範圍。