wie kann ich SYN_RECV flood abstellen?

#1 Hallo,

wie kann ich ein SYN_RECV flood abstellen?

Gruß,
Willi

tcp 0 0 84.19.161.190:80 213.7.204.98:2318 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2226 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2043 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2064 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2220 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2294 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2058 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2278 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2227 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2135 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2221 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2011 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2272 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2041 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2323 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2267 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2243 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2317 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2283 SYN_RECV
tcp 0 0 84.19.161.190:80 213.7.204.98:2051 SYN_RECV

#2 Les mal hier nach: http://www.heise.de/security/artikel/print/43066

Folgendes kannst du in dein iptables-Skript/ein Startup Script integrieren:

Zitat

if (test -e /proc/sys/net/ipv4/tcp_syncookies) then
echo 1 > /proc/sys/net/ipv4/tcp_syncookies
fi

Don

#3 unsere letzte DOS Attacke waren auch SYN-Floods, was bewirkt das denn genau (ausser das der server abschmiert) und inwiefern hilft der zusätzliche eintrag ?

EDIT:
Danke, das suchen hat mir diesen Beitrag bei Heise.de gezeigt (http://www.heise.de/security/artikel/43066/2). Leider erklärt Heise eher für wirklich Kenner des Linux System, was man ändern muss.

Wäre jemand so nett und würde mir ganz kurz erläutern was ich machen müsste um unseren Web-Server (Suse Distribution) zumindest vor SYN-Floods mit den Cookies zu schützen und den Wert von 5 auf 1 herabzusetzen.

Supi, Danke!

#4

Zitat

zumindest vor SYN-Floods mit den Cookies zu schützen

Das ist doch im c't Artikel und in meinem Beitrag drin?!

Zitat

echo 1 > /proc/sys/net/ipv4/tcp_syncookies

^^ Das muss bei jedem Systemstart ausgeführt werden. Viele Distros bieten auch eine Option in bestimmten config files an. Unter Debian ist das "/etc/network/options", SuSE kenne ich leider nicht. Wenn du etwas googlest, wirst du sicherlich die richtige Einstellung finden.

Zitat

den Wert von 5 auf 1 herabzusetzen

Hier verstehe ich dich leider nicht

Don