| 加固项 | 连接层抗泛洪 |
|---|---|
| 适用平台 | Linux |
| 风险等级 | 中 |
| 基线 | SYN cookies 开启、backlog 调优 |
内核侧核查（加固项在 sysctl，防护策略在防火墙/云端）
内核侧核查（加固项在 sysctl，防护策略在防火墙/云端）
sysctl net.ipv4.tcp_syncookies
sysctl net.ipv4.tcp_max_syn_backlog
sysctl net.core.somaxconn
ss -snftables synproxy 示例思路
nftables synproxy 示例思路
nft add rule inet filter input tcp dport 443 'ct state new' synproxy mss 1460 wscale 7 timestamp sack-permsynproxy 需在纯后端场景使用（前置设备已做健康检查时慎用）；多数业务先依赖云厂商 DDoS 基础防护更实际。