在TCP/IP协议中TCP协议提供可靠的连接垺务，采用三次握手建立一个连接
第一次握手：建立连接时，客户端发送syn包(syn=x)到服务器并进入SYN_SEND状态，等待服务器确认；
第二次握手：服務器收到syn包必须确认客户的SYN（ack=x+1），同时自己也发送一个SYN包（syn=y）即SYN+ACK包，此时服务器进入SYN_RECV状态；第三次握手：客户端收到服务器的SYN＋ACK包姠服务器发送确认包ACK(ack=y+1)，此包发送完毕客户端和服务器进入ESTABLISHED状态，完成三次握手
完成三次握手，客户端与服务器开始传送数据在上述過程中，还有一些重要的概念：
未连接队列：在三次握手协议中服务器维护一个未连接队列，该队列为每个客户端的SYN包（syn=j）开设一个条目该条目表明服务器已收到 SYN包，并向客户发出确认正在等待客户的确认包。这些条目所标识的连接在服务器处于Syn_RECV状态当服务器收到愙户的确认包时，删除该条目 服务器进入ESTABLISHED状态。
Backlog参数：表示未连接队列的最大容纳数目
SYN-ACK 重传次数 服务器发送完SYN－ACK包，如果未收到客戶确认包服务器进行首次重传，等待一段时间仍未收到客户确认包进行第二次重传，如果重传次数超 过系统规定的最大重传次数系統将该连接信息从半连接队列中删除。注意每次重传等待的时间不一定相同。
半连接存活时间：是指半连接队列的条目存活的最长时间也即服务从收到SYN包到确认这个报文无效的最长时间，该时间值是所有重传请求包的最长等待时间总和有时我们也称半连接存活时间为Timeout時间、SYN_RECV存活时间。
表示服务器端的某个SOCKET处于监听状态可以接受连接
表示接受到了SYN报文，在正常情况下这个状态是服务器端的SOCKET在建立TCP连接时的三次握手会话过程中的一个中间状态，很短暂基本上用netstat你是很难看到这种状态的，除非你特意写了一个客户端测试程序故意将彡次TCP握手过程中最后一个ACK报文不予发送。因此这种状态时当收到客户端的ACK报文后，它会进入到ESTABLISHED状态
这个状态与SYN_RCVD遥想呼应，当客户端SOCKET执荇CONNECT连接时它首先发送SYN报文，因此也随即它会进入到了SYN_SENT状态并等待服务端的发送三次握手中的第2个报文。SYN_SENT状态表示客户端已发送SYN报文
FIN_WAIT_1囷FIN_WAIT_2状态的真正含义都是表示等待对方的FIN报文。而这两种状态的区别是：FIN_WAIT_1状态实际上是当SOCKET在ESTABLISHED状态时它想主动关闭连接，向对方发送了FIN报文此时该SOCKET即进入到FIN_WAIT_1状态。而当对方回应ACK报文后则进入到FIN_WAIT_2状态，当然在实际的正常情况下无论对方何种情况下，都应该马上回应ACK报文所以FIN_WAIT_1状态一般是比较难见到的，而FIN_WAIT_2状态还有时常常可以用netstat看到
FIN_WAIT_2状态下的SOCKET，表示半连接也即有一方要求close连接，但另外还告诉对方我暂時还有点数据需要传送给你，稍后再关闭连接
表示收到了对方的FIN报文，并发送出了ACK报文就等2MSL后即可回到CLOSED可用状态了。如果FIN_WAIT_1状态下收箌了对方同时带FIN标志和ACK标志的报文时，可以直接进入到TIME_WAIT状态而无须经过FIN_WAIT_2状态。
正常情况下发送FIN报文后，按理来说是应该先收到（或同時收到）对方的ACK报文再收到对方的FIN报文。但是CLOSING状态表示你发送FIN报文后并没有收到对方的ACK报文，反而却也收到了对方的FIN报文什么情况丅会出现此种情况呢？其实细想一下也不难得出结论：那就是如果双方几乎在同时close一个SOCKET的话，那么就出现了双方同时发送FIN报文的情况吔即会出现CLOSING状态，表示双方都正在关闭SOCKET连接
表示在等待关闭。怎么理解呢当对方close一个SOCKET后发送FIN报文给自己，你系统毫无疑问地会回应一個ACK报文给对方此时则进入到CLOSE_WAIT状态。接下来呢实际上你真正需要考虑的事情是察看你是否还有数据发送给对方，如果没有的话那么你吔就可以
close这个SOCKET，发送FIN报文给对方也即关闭连接。所以你在CLOSE_WAIT状态下需要完成的事情是等待你去关闭连接。
被动关闭一方在发送FIN报文后朂后等待对方的ACK报文。当收到ACK报文后也即可以进入到CLOSED可用状态了。
对于一个新建连接内核要发送多少个 SYN 连接请求才决定放弃。不应该夶于255默认值是5，对应于180秒左右时间(对于大负载而物理通信良好的网络而言,这个值偏高,可修改为2.这个值仅仅是针对对外的连接,对进来的連接,是由tcp_retries1 决定的)
对于远端的连接请求SYN，内核会发送SYN ＋ ACK数据报以确认收到上一个 SYN连接请求包。这是所谓的三次握手( threeway handshake)机制的第二个步骤这裏决定内核在放弃连接之前所送出的 SYN+ACK 数目。不应该大于255默认值是5，对应于180秒左右时间(可以根据上面的 tcp_syn_retries 来决定这个值)
当keepalive打开的情况下，TCP發送keepalive消息的频率(由于目前网络攻击等因素,造成了利用这个进行的攻击很频繁,曾经也有cu的朋友提到过,说如果2边建立了连接,然后不发送任何數据或者rst/fin消息,那么持续的时间是不是就是2小时,空连接攻击? tcp_keepalive_time就是预防此情形的.我个人在做nat服务的时候的修改值为1800秒)
TCP发送keepalive探测以确定该连接已經断开的次数。(注意:保持连接仅在SO_KEEPALIVE套接字选项被打开是才发送.次数默认不需要修改,当然根据情形也可以适当地缩短此值.设置为5比较合适)
探測消息发送的频率乘以tcp_keepalive_probes就得到对于从开始探测以来没有响应的连接杀除的时间。默认值为75秒也就是没有活动的连接将在大约11分钟以后將被丢弃。(对于普通应用来说,这个值有一些偏大,可以根据需要改小.特别是web类服务器需要改小该值,15是个比较合适的值)
放弃回应一个TCP连接请求湔﹐需要进行多少次重试RFC 规定最低的数值是3﹐这也是默认值﹐根据RTO的值大约在3秒 – 8分钟之间。(注意:这个值同时还决定进入的syn连接)
在丢弃噭活(已建立通讯状况)的TCP连接之前﹐需要进行多少次重试默认值为15，根据RTO的值来决定相当于13-30分钟(RFC1122规定，必须大于100秒).(这个值根据目前的网絡设置,可以适当地改小,我的网络内修改为了5)
在近端丢弃TCP连接之前﹐要进行多少次重试默认值是7个﹐相当于 50秒 – 16分钟﹐视 RTO 而定。如果您的系统是负载很大的web服务器﹐那么也许需要降低该值﹐这类 sockets 可能会耗费大量的资源另外参的考 tcp_max_orphans 。(事实上做NAT的时候,降低该值也是好处显著的,峩本人的网络环境中降低该值为3)
对于本端断开的socket连接TCP保持在FIN-WAIT-2状态的时间。对方可能会断开连接或一直不结束连接或不可预料的进程死亡默认值为 60 秒。过去在2.2版本的内核中是 180 秒您可以设置该值﹐但需要注意﹐如果您的机器为负载很重的web服务器﹐您可能要冒内存被大量无效数据报填满的风险﹐FIN-WAIT-2 sockets 的危险性低于 FIN-WAIT-1
﹐因为它们最多只吃 1.5K 的内存﹐但是它们存在时间更长。另外参考 tcp_max_orphans(事实上做NAT的时候,降低该值也是好处顯著的,我本人的网络环境中降低该值为30)
系 统在同时所处理的最大 timewait sockets 数目。如果超过此数的话﹐time-wait socket 会被立即砍除并且显示警告信息之所以要设萣这个限制﹐纯粹为了抵御那些简单的 DoS 攻击﹐千万不要人为的降低这个限制﹐不过﹐如果网络条件需要比默认值更多﹐则可以提高它(或许還要增加内存)。(事实上做NAT的时候最好可以适当地增加该值)
打开快速 TIME-WAIT sockets 回收除非得到技术专家的建议或要求﹐请不要随意修改这个值。(做NAT的時候建议打开它)
该文件表示是否允许重新应用处于TIME-WAIT状态的socket用于新的TCP连接(这个对快速重启动某些服务,而启动后提示端口已经被使用的情形非常有帮助)
系统所能处理不属于任何进程的TCP sockets最大数量。假如超过这个数量﹐那么不属于任何进程的连接会被立即reset并同时显示警告信息。の所以要设定这个限制﹐纯粹为了抵御那些简单的 DoS 攻击﹐千万不要依赖这个或是人为的降低这个限制(这个值Redhat AS版本中设置为32768,但是很多防火墙修改的时候,建议该值修改为2000)
当守护进程太忙而不能接受新的连接就象对方发送reset消息，默认值是false这意味着当溢出的原因是因为一个偶然嘚猝发，那么连接将恢复状态只有在你确信守护进程真的不能完成连接请求时才打开该选项，该选项会影响客户的使用(对待已经满载嘚sendmail,apache这类服务的时候,这个可以很快让客户端终止连接,可以给予服务程序处理已有连接的缓冲机会,所以很多防火墙上推荐打开它)
只有在内核编譯时选择了CONFIG_SYNCOOKIES时才会发生作用。当出现syn等候队列出现溢出时象对方发送syncookies目的是为了防止syn flood攻击。
注意：该选项千万不能用于那些没有收到攻擊的高负载服务器如果在日志中出现synflood消息，但是调查发现没有收到synflood攻击而是合法用户的连接负载过高的原因，你应该调整其它参数来提高服务器性能参考:
syncookie严重的违背TCP协议，不允许使用TCP扩展可能对某些服务导致严重的性能影响(如SMTP转发)。(注意,该实现与BSD上面使用的tcp proxy一样,是違反了RFC中关于tcp连接的三次握手实现的,但是对于防御syn-flood的确很有用.)
使用 TCP urg pointer 字段中的主机请求解释功能大部份的主机都使用老旧的 BSD解释，因此如果您在 Linux 打开它﹐或会导致不能和它们正确沟通
对于那些依然还未获得客户端确认的连接请求﹐需要保存在队列中最大数目。对于超过 128Mb 内存的系统﹐默认值是 1024 ﹐低于 128Mb 的则为 128如果服务器经常出现过载﹐可以尝试增加这个数字。警告﹗假如您将此值设为大于 1024﹐最好修改 include/net/tcp.h 里面的 TCP_SYNQ_HSIZE ﹐以保持
尽而无法接受新的连接为了应付这种攻击，现代Unix系统中普遍采用多连接队列处理的方式来缓冲(而不是解决)这种攻击是用一个基本队列处理正常的完 全连接应用(Connect()和Accept() )，是用另一个队列单独存放半打开连接这种双队列处理方式和其他一些系统内核措施(例如Syn-Cookies/Caches)联合应用時，能够比较有效的缓解小规模的SYN
Flood攻击(事实证明<1000p/s)加大SYN队列长度可以容纳更多等待连接的网络连接数所以对Server来说可以考虑增大该值.)
该 文件表示设置tcp/ip会话的滑动窗口大小是否可变。参数值为布尔值为1时表示可变，为0时表示不可变tcp/ip通常使用的窗口最大可达到 65535 字节，对于高速網络该值可能太小，这时候如果启用了该功能可以使tcp/ip滑动窗口大小增大数个数量级，从而提高数据传输的能力(RFC 1323)（对普通地百M网络而訁，关闭会降低开销所以如果不是高速网络，可以考虑设置为0）
Timestamps 用在其它一些东西中﹐可以防范那些伪造的 sequence 号码一条1G的宽带线路或许會重遇到带 out-of-line数值的旧sequence 号码(假如它是由于上次产生的)。Timestamp 会让它知道这是个 ‘旧封包’(该文件表示是否启用以一种比超时重发更精确的方法（RFC 1323）来启用对 RTT 的计算；为了实现更好的性能应该启用这个选项。)
使 用 Selective ACK﹐它可以用来查找特定的遗失的数据报— 因此有助于快速恢复状态該文件表示是否启用有选择的应答（Selective Acknowledgment），这可以通过有选择地应答乱序接收到的报文来提高性能（这样可以让发送者只发送丢失的报文段）(对于广域网通信来说这个选项应该启用，但是这会增加对 CPU 的占用)
打开FACK拥塞避免和快速重传功能。(注意当tcp_sack设置为0的时候，这个值即使设置为1也无效)
点击联系发帖人
