| 参数 | net.ipv4.tcp_syncookies |
|---|---|
| 取值 | 0 关闭 / 1 仅在队列满时启用（默认） / 2 无条件启用 |
| 适用 | 暴露在公网或易受 SYN 泛洪的服务 |
查看
查看
sysctl net.ipv4.tcp_syncookies
netstat -s | grep -i -E 'SYNs to LISTEN|cookie'SYN Cookie 生效的连接无法携带窗口缩放等选项，极端高延迟链路可能吞吐下降；它是兜底防护而非长期方案。
本包目录（357 条）
sysctl 内核参数72 条
- net.ipv4.tcp_congestion_control 拥塞控制
- net.core.somaxconn 全连接队列上限
- sysctl 查看与修改内核参数
- vm.swappiness 换页倾向
- net.ipv4.tcp_tw_reuse TIME_WAIT 复用
- TCP Keepalive 三参数速查
- net.ipv4.ip_local_port_range 本地端口范围
- sysctl.d 配置持久化
- net.ipv4.tcp_rmem 接收缓冲自动调优
- net.ipv4.tcp_max_syn_backlog 半连接队列
- vm.overcommit_memory 内存超售策略
- net.netfilter.nf_conntrack_max 连接跟踪表上限
- vm.max_map_count 内存映射数量上限
- net.ipv4.tcp_syncookies SYN Cookie 防护
- vm.dirty_ratio 脏页回写硬阈值
- /proc/sys 参数文件树
- net.ipv4.tcp_syn_retries 主动建连接重试
- net.core.netdev_max_backlog 收包积压队列
- net.ipv4.ip_forward IPv4 转发开关
- net.core.rmem_max / wmem_max 套接字缓冲上限
- net.ipv4.tcp_wmem 发送缓冲自动调优
- net.ipv4.conf.all.rp_filter 反向路径过滤
- fs.file-max 系统文件句柄上限
- net.ipv4.tcp_fin_timeout FIN_WAIT2 超时
- net.core.default_qdisc 默认队列规则
- fs.inotify.max_user_watches 监听配额
- net.ipv4.tcp_synack_retries 服务端握手重试
- net.ipv4.tcp_fastopen TCP Fast Open
- vm.dirty_background_ratio 后台回写阈值
- net.ipv4.tcp_mtu_probing PMTU 黑洞探测
- vm.panic_on_oom OOM 时是否崩溃
- net.ipv4.tcp_max_tw_buckets TIME_WAIT 总量
- net.ipv4.tcp_slow_start_after_idle 空闲后慢启动
- nf_conntrack_tcp_timeout_established 跟踪超时
- fs.nr_open 单进程句柄硬上限
- net.ipv4.tcp_window_scaling 窗口缩放
- fs.aio-max-nr 异步 IO 事件上限
- net.ipv4.tcp_mem 全局 TCP 内存水位
- net.ipv4.tcp_timestamps 时间戳选项
- net.ipv4.icmp_echo_ignore_all 禁 Ping
- kernel.pid_max PID 编号空间
- net.ipv4.tcp_abort_on_overflow 队列溢出行为
- vm.overcommit_ratio 超售比例
- kernel.core_pattern 核心转储路径
- vm.vfs_cache_pressure 目录缓存回收倾向
- kernel.sysrq 系统请求键掩码
- vm.min_free_kbytes 保留空闲内存
- vm.dirty_expire_centisecs 脏页老化时间
- kernel.panic 崩溃自动重启
- net.ipv4.neigh.default.gc_thresh ARP 表阈值
- vm.dirty_writeback_centisecs 回写周期
- kernel.threads-max 系统任务数上限
- vm.zone_reclaim_mode NUMA 本地回收
- kernel.sem SysV 信号量四元组
- kernel.printk 控制台日志级别
- tcp_available_congestion_control 算法清单
- fs.inotify.max_user_instances 实例配额
- kernel.hung_task_timeout_secs 任务挂起告警
- kernel.dmesg_restrict 与 kptr_restrict 信息暴露控制
- net.ipv4.tcp_ecn 显式拥塞通知
- vm.page-cluster swap 预读页数
- kernel.shmmax SysV 共享内存上限
- net.ipv4.udp_mem 等 UDP 缓冲参数
- kernel.msgmax 消息队列单条上限
- net.core.rmem_default / wmem_default 默认缓冲
- kernel.randomize_va_space 地址随机化
- net.ipv4.tcp_autocorking 小包合并
- kernel.nmi_watchdog NMI 看门狗
- kernel.unprivileged_bpf_disabled 非特权 BPF
- net.core.busy_read / busy_poll 低延迟轮询
- net.core.optmem_max 辅助缓冲区上限
- vm.stat_interval 统计刷新间隔
net.ipv4.tcp_syncookies SYN Cookie 防护
在半连接队列溢出时用无状态的 SYN Cookie 完成握手，避免队列耗尽导致正常新连接被拒；默认开启，代价是触发时部分 TCP 选项协商受限。
易错点
- 收到大量 SYN 攻击时应先在上游清洗或限速，把 syncookies 当日常手段会掩盖容量问题
- 反复看到 possible SYN flooding 日志时应核对半连接队列与真实来源 IP
数据来源与参考
- Linux 内核 Documentation/admin-guide/sysctl/net.rst
- RFC 4987（SYN Flooding 防护）