Cookie Syn TCP всегда - это включаемый при включении?
Для ядра Linux 2.6.32, если я установил net.ipv4.tcp_syncookies = 1 это будет всегда использоваться или только во время нападения лавинной рассылки SYN?
Я нашел 2 источника, который говорит противоположное.
1:
"Существуют, однако, два протеста, которые вступают в силу, когда cookie SYN используются. Во-первых, сервер ограничен только 8 уникальными значениями MSS, поскольку это - все, что может быть закодировано в 3 битах. Во-вторых, сервер должен отклонить все опции TCP (такие как большие окна или метки времени), потому что сервер отбрасывает запись очереди SYN, где та информация иначе хранилась бы. [1]
В то время как эти ограничения обязательно приводят к субоптимальному опыту, их эффект редко замечается клиентами, потому что они только применяются когда под ударом. В такой ситуации потеря опций TCP для сохранения соединения, обычно считается разумным компромиссом."
2:
"Оборотная сторона - то, что не все данные TCP могут вписаться в 32-разрядное поле Sequence Number, таким образом, некоторые опции TCP, требуемые для высокой производительности, могли бы быть отключены". Это означает, что опции, такие как выборочный ACKs и Масштабирование Окна TCP не будут работать при включении Cookie SYN даже если сервер в настоящее время не находится под ударом."
второй источник, «он означает, что такие параметры, как выборочные ACK и масштабирование окна TCP не будут работать, если вы включите файлы cookie SYN, даже если ваш сервер в настоящее время не подвергается атаке» просто чушь собачья, до "TCP: request_sock_TCP: Возможное SYN-флуд на порту 53. Отправка файлов cookie.Проверьте счетчики SNMP, что ничего не отключено
, это легко проверить, сравнив вашу производительность с iperf3 и включив / отключив net.ipv4.tcp_sack и net.ipv4.tcp_window_scaling, оставив net.ipv4.tcp_syncookies = 1 "включен
почему вы читаете случайные источники вместо официальных? https://www.kernel.org/doc/Documentation/networking/ip-sysctl.txt
tcp_syncookies - BOOLEAN Допустимо, только если ядро было скомпилировано с CONFIG_SYN_COOKIES Отправлять файлы cookie, когда очередь ожидания синхронизации сокета переливается. Это сделано для предотвращения распространенной атаки SYN flood. По умолчанию: 1
Note, that syncookies is fallback facility.
It MUST NOT be used to help highly loaded servers to stand
against legal connection rate. If you see SYN flood warnings
in your logs, but investigation shows that they occur
because of overload with legal connections, you should tune
another parameters until this warning disappear.
See: tcp_max_syn_backlog, tcp_synack_retries, tcp_abort_on_overflow.
syncookies seriously violate TCP protocol, do not allow
to use TCP extensions, can result in serious degradation
of some services (f.e. SMTP relaying), visible not by you,
but your clients and relays, contacting you. While you see
SYN flood warnings in logs not being really flooded, your server
is seriously misconfigured.