Debian服务器运维使用sysctl优化TCP栈抗攻击

Debian 服务器上线后默认的 TCP 栈参数是针对通用场景设计的，在面临 SYN Flood、连接耗尽或突发大流量时，这些保守的内核设置会让服务迅速变得不可用。问题不在带宽是否充足，而在于内核处理握手队列、等待队列和连接超时的逻辑没有针对高并发和攻击场景做调整。调整 sysctl 的核心思路是：缩短关键超时、增大握手队列、启用 SYN Cookie 并精确控制重试行为，让服务器把资源优先分配给合法请求，快速遗忘异常连接。

当客户端发起 TCP 连接时，服务端会将该连接放入 SYN 半连接队列，等待三次握手完成。攻击者发送大量 SYN 包但不完成握手，这个队列瞬间就会被填满。Debian 内核提供了两个参数来控制行为。第一个是 tcp_max_syn_backlog，它决定了半连接队列的最大长度。默认值通常是 128 或 256，对于面向公网的服务远远不够。第二个是 tcp_syncookies，当半连接队列溢出时，内核不再丢弃新 SYN 包，而是用加密算法生成一个 Cookie 作为 SYN-ACK 的序列号发回去。合法客户端会在 ACK 中带回这个 Cookie，内核验证通过后直接建立连接，完全不占用半连接队列。这两个机制必须同时启用并调大才能生效。将 net.ipv4.tcp_syncookies 设为 1，net.ipv4.tcp_max_syn_backlog 提升到 4096 或更高，可以应对绝大多数 SYN Flood 攻击。

攻击流量中很大一部分是永远不会完成握手或永远不会发送实际数据的连接。内核默认会花很长时间去重试和等待，这期间文件描述符和内存都被占用。有几个关键参数需要调整。tcp_synack_retries 控制 SYN-ACK 包的重发次数，默认是 5 次，意味着在丢包严重的攻击场景下，一个半开连接可能存活数十秒。将其降到 2 或 1，能极大缩短半连接存活时间。tcp_fin_timeout 控制连接在 FIN-WAIT-2 状态等待对端 FIN 包的时间，默认 60 秒，可以降到 15 到 30 秒。对于已经建立的连接，如果通信中断，tcp_keepalive_time、tcp_keepalive_intvl 和 tcp_keepalive_probes 三个参数决定了内核多久开始探测、探测间隔和探测次数。将 tcp_keepalive_time 从 7200 秒降低到 600 秒，tcp_keepalive_intvl 降到 30 秒，tcp_keepalive_probes 设为 3，就能在 10 分钟左右识别出死连接并回收资源，避免被慢速攻击耗尽连接表。

高并发和攻击场景下，连接跟踪表很容易被打满，导致新连接被直接丢弃。net.netfilter.nf_conntrack_max 决定了连接跟踪的最大条目数，默认值通常基于内存自动计算，但对于 8GB 以上内存的服务器，手动设置为 262144 或更高更可靠。同时 net.netfilter.nf_conntrack_tcp_timeout_established 可以适当降低，比如从 432000 秒降到 3600 秒，让已建立的空闲连接更快从跟踪表中清除。net.ipv4.ip_local_port_range 控制本地端口范围，默认是 32768 到 60999，大约 28000 个端口。对于需要大量出站连接的反向代理或爬虫服务，可以扩大到 1024 到 65535，增加可用端口数量，避免端口耗尽导致的连接失败。

tcp_timestamps 和 tcp_window_scaling 是提升 TCP 性能的重要选项，但在某些攻击手法中，时间戳可以被用来推测服务器运行时间，窗口缩放也可能被利用。在 Debian 上，这两个选项默认是开启的，对于抗攻击场景，建议保持开启但配合其他参数限制。tcp_tw_reuse 允许将处于 TIME-WAIT 状态的连接用于新的连接，这在高并发场景下能大幅减少 TIME-WAIT 连接数量。注意 tcp_tw_recycle 在较新内核中已被移除，因为它与 NAT 环境存在兼容性问题，不要尝试启用。net.ipv4.tcp_max_tw_buckets 可以限制 TIME-WAIT 状态连接的总数，超过这个数量后新的 TIME-WAIT 连接会被直接销毁，设置为 262144 能防止 TIME-WAIT 连接耗尽内存。

TCP 栈的内存使用直接关系到抗攻击能力。net.ipv4.tcp_rmem 和 net.ipv4.tcp_wmem 分别控制接收和发送缓冲区的三个值：最小值、默认值和最大值。在攻击流量涌入时，过小的缓冲区会让合法连接也受到影响。将最大值提升到 16MB 或更高，能保证正常连接有足够缓冲。net.core.rmem_max 和 net.core.wmem_max 是全局的套接字缓冲区上限，需要同步调整到与 TCP 缓冲区最大值一致或更高。net.ipv4.tcp_mem 控制 TCP 栈整体可使用的内存页数量，同样由三个值组成，第三个值是硬限制。根据服务器内存大小，将第三个值设置为总内存的 10% 到 15% 对应的页数，能防止 TCP 栈在攻击下占用过多内存导致 OOM。

攻击流量到达时，网卡接收队列和内核软中断处理能力往往成为瓶颈。sysctl 中与网络队列相关的参数需要一并调整。net.core.netdev_max_backlog 控制内核在将数据包交给协议栈处理前可以缓冲的数据包数量，默认 1000 在攻击场景下完全不够，提升到 5000 或更高。net.core.somaxconn 是 listen 系统调用可以接受的最大 backlog，也就是全连接队列的上限，默认 128 太小，必须提升到 4096 或与应用程序中 listen 的 backlog 参数匹配。这两个参数配合 tcp_max_syn_backlog，才能让握手队列和等待 accept 的队列都有足够容量。

将上述参数整理后，可以直接在 /etc/sysctl.d/99-tcp-hardening.conf 文件中写入以下内容：

# 启用 SYN Cookie，防止半连接队列溢出
net.ipv4.tcp_syncookies = 1
# 增大半连接队列长度
net.ipv4.tcp_max_syn_backlog = 8192
# 减少 SYN-ACK 重试次数，快速释放半开连接
net.ipv4.tcp_synack_retries = 2
# 缩短 FIN-WAIT-2 状态超时
net.ipv4.tcp_fin_timeout = 15
# 允许 TIME-WAIT 状态连接复用
net.ipv4.tcp_tw_reuse = 1
# 限制 TIME-WAIT 连接总数
net.ipv4.tcp_max_tw_buckets = 262144
# 调整 TCP 保活参数
net.ipv4.tcp_keepalive_time = 600
net.ipv4.tcp_keepalive_intvl = 30
net.ipv4.tcp_keepalive_probes = 3
# 扩大本地端口范围
net.ipv4.ip_local_port_range = 1024 65535
# TCP 接收和发送缓冲区
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216
net.core.rmem_max = 16777216
net.core.wmem_max = 16777216
# TCP 栈整体内存限制，单位是页
net.ipv4.tcp_mem = 786432 1048576 1572864
# 网卡接收队列缓冲
net.core.netdev_max_backlog = 5000
# 全连接队列上限
net.core.somaxconn = 4096
# 连接跟踪表大小
net.netfilter.nf_conntrack_max = 262144
# 已建立连接在跟踪表中的超时
net.netfilter.nf_conntrack_tcp_timeout_established = 3600

保存文件后执行 sysctl -p /etc/sysctl.d/99-tcp-hardening.conf 让配置立即生效。这些参数是经过大量生产环境验证的基线值，根据服务器实际内存和业务特性可以进一步微调。比如内存 16GB 以上的服务器，tcp_mem 的第三个值可以再翻倍，tcp_max_syn_backlog 可以提升到 16384。如果服务器前面有负载均衡或反向代理，somaxconn 和 netdev_max_backlog 需要与代理层配置协同调整，避免队列容量在代理处成为瓶颈。

配置生效后，用 ss -s 命令可以查看当前 TCP 连接的状态分布，重点关注 SYN-RECV、TIME-WAIT 和 ESTAB 的数量。在攻击演练或实际攻击发生时，观察 SYN-RECV 数量是否在可控范围内，TIME-WAIT 是否被快速回收。netstat -s 输出的 TcpExt 部分会显示 SYN Cookie 的触发次数、连接超时次数等统计信息，这些指标能直接反映参数调整是否起作用。如果 SyncookiesSent 和 SyncookiesRecv 持续增长，说明 SYN Cookie 正在工作，半连接队列确实被打满过。如果 TCPAbortOnTimeout 大量增加，说明超时参数在积极清理异常连接。将这些指标接入监控系统，设置阈值告警，就能在攻击发生时第一时间感知并评估当前配置是否足够。

Debian 不同版本的内核在处理某些参数时存在差异。Debian 10 使用的 4.19 内核和 Debian 11 的 5.10 内核中，tcp_tw_recycle 已经被移除，强行设置会报错。tcp_fastopen 在较新内核中默认值可能已经是 3，但开启后服务端需要应用层支持，否则没有实际效果。nf_conntrack 模块在未加载时，相关的 sysctl 参数不存在，需要先执行 modprobe nf_conntrack 加载模块。调整这些参数前，用 sysctl -a | grep 参数名 确认参数是否存在，避免因拼写错误或内核版本不匹配导致配置未生效。对于使用云服务商提供的定制内核，部分参数可能被锁定或默认值不同，需要查阅云平台的文档确认可调范围。

sysctl 参数调整解决的是内核 TCP 栈层面的资源管理问题，但要构建完整的抗攻击体系，还需要在防火墙层面做速率限制和连接追踪。用 iptables 的 limit 模块对 SYN 包做速率限制，配合 --syn-mirror 或 hashlimit 可以实现更精细的源 IP 限速。nftables 提供了更高效的连接追踪和限速机制，在 Debian 11 及以上版本中推荐使用。防火墙规则与 sysctl 参数配合的逻辑是：sysctl 保证内核在承受攻击时有足够的队列深度和快速回收能力，防火墙在流量进入队列前就丢弃明显异常的包，两者结合才能在不影响正常服务的前提下扛住大流量攻击。

在故障排查时，如果怀疑某个参数未生效，可以用 cat /proc/sys/net/ipv4/参数名 直接读取当前值，这个值与 sysctl 显示的值完全一致。对于连接队列相关的问题，ss -lnt 输出的 Send-Q 列表示全连接队列的最大长度，Recv-Q 列表示当前等待 accept 的连接数。如果 Recv-Q 持续接近或等于 Send-Q，说明应用程序处理连接的速度跟不上，需要增大 somaxconn 或优化应用层代码。对于半连接队列，没有直接查看的命令，但可以通过触发 SYN Cookie 的统计间接判断。攻击测试时，用 hping3 或 scapy 构造 SYN Flood 流量，观察服务可用性和系统负载，逐步调整参数直到找到最优平衡点。