什么“可能在端口8009上发生SYN泛洪。发送cookie”是指在/ var / log / messages中？

Question

我有一个Web应用程序设置apache + mod_jk + tomcat（8009端口上mod_jk的连接器）。最近我的应用程序开始每天挂起几次，在/ var / logs / messages中有一些条目，例如“端口800上可能发生SYN泛滥。发送cookie”30-60秒。每次应用程序挂起时我都必须重新启动。

是DDOS攻击吗？或系统/应用程序错误可能导致此问题？

任何帮助都将受到高度赞赏。

感谢。

Answer 1

这篇关于tcp_syncookies的文章可能有助于解释这个问题。

某人或某事正在向您的应用程序发送SYN数据包。它可能是一个合法的客户端，没有收到ACK cookie（你的应用程序是否工作？），或者它可能是恶意的（是否分发）。

Answer 2

首先，我看了一下现有的规则

iptables -L -v

这将显示现有链中设置的规则和默认策略 - INPUT，FORWARD和OUTPUT。

然后我按照这些快速步骤 -

1. 创建一个新链，并将其命名为DDOS_SYNFLOOD，

iptables -N DDOS_SYNFLOOD

1. 使用限制模块，每秒15个数据包的限制，最大突发数量为20，

iptables -A DDOS_SYNFLOOD -m limit --limit 15 / second --limit-burst 20 -j ACCEPT

注意：其他单位 - /分钟，/小时和/天

1. 当然，我们需要丢弃超过上述限制的数据包

iptables -A DDOS_SYNFLOOD -j DROP

1. 现在剩下的就是＆＃34;跳跃＆＃34;在端口80上传入tcp syn数据包的新链。

iptables -A INPUT -p tcp --syn --dport http -j DDOS_SYNFLOOD

看一下设置的内容 -

iptables -L -v