Résister aux inondations de connexions

Pourquoi il compte

Un SYN flood envoie d’énormes quantités de demandes de connexion sans jamais les achever. Chaque connexion à moitié ouverte occupe de la mémoire, le serveur sature et ne répond plus aux visiteurs réels. Les SYN cookies permettent à la machine de continuer à répondre pendant l’attaque.

Comment il fonctionne

Met net.ipv4.tcp_syncookies à 1. Quand la file des connexions à moitié ouvertes déborde, le noyau cesse de les stocker et encode l’état nécessaire dans la réponse, donc l’attaque n’épuise pas la mémoire.

À qui il s'adresse

Tout ce qui accepte des connexions TCP : serveurs, labos maison, portables avec des services. Cela n’agit qu’en charge, donc peu de raisons de laisser désactivé. La plupart des distributions l’active déjà.

Ce que vous pouvez remarquer

Rien, car cela ne compte qu’en surcharge. Pendant une attaque, certaines options TCP peuvent manquer sur les connexions touchées.

Le vérifier sur votre ordinateur

Lire la valeur actuelle :

sysctl net.ipv4.tcp_syncookies

L'appliquer à la main

La définir maintenant (jusqu'au prochain redémarrage) :

sudo sysctl -w net.ipv4.tcp_syncookies=1

La conserver après les redémarrages, dans un fichier qui vous appartient :

sudo tee /etc/sysctl.d/90-net-tcp-syncookies.conf <<'EOF'
net.ipv4.tcp_syncookies = 1
EOF
sudo sysctl --system

L'annuler

Supprimez le fichier et redémarrez, ou remettez l'ancienne valeur avec sysctl -w.

Réglages liés

• Ignorer les réinitialisations de connexions en cours de fermeture

Sources

Linux Hardening Guide (madaidans)

2.2.2

Linux kernel documentation

net