Chuyển tới nội dung chính

Bảo Vệ Server Khỏi Tấn Công SYN Flood

Giới Thiệu​

Tấn công SYN Flood là một trong những hình thức tấn công từ chối dịch vụ (DDoS) phổ biến nhất, nhằm mục đích làm tê liệt server bằng cách lợi dụng lỗ hổng trong quá trình bắt tay ba bước (3-way handshake) của giao thức TCP. Kẻ tấn công gửi hàng loạt gói tin SYN đến server, nhưng không hoàn tất quá trình bắt tay, khiến server phải duy trì nhiều kết nối bán mở (half-open connections) cho đến khi tài nguyên cạn kiệt và không thể xử lý các yêu cầu hợp lệ.

Bài hướng dẫn này sẽ chỉ cho bạn các bước để cấu hình và tối ưu hóa server Linux của bạn nhằm chống lại các cuộc tấn công SYN Flood, tăng cường khả năng phục hồi và đảm bảo tính ổn định của dịch vụ.

📋 Thời gian: 15-30 phút | Độ khó: Trung bình

Yêu Cầu​

Để thực hiện theo hướng dẫn này, bạn cần:

  • Một server chạy hệ điều hành Linux (ví dụ: Ubuntu, CentOS, Debian, Fedora).
  • Quyền truy cập root hoặc người dùng có quyền sudo trên server.
  • Kiến thức cơ bản về dòng lệnh Linux và khái niệm mạng TCP/IP.

Các Bước Thực Hiện​

Bước 1: Hiểu về Tấn công SYN Flood​

Trước khi đi vào các biện pháp phòng chống, điều quan trọng là phải hiểu cách thức hoạt động của tấn công SYN Flood.

Quá trình bắt tay ba bước của TCP diễn ra như sau:

  1. Client gửi SYN: Client muốn thiết lập kết nối gửi một gói tin SYN (Synchronize) đến server.
  2. Server trả lời SYN-ACK: Server nhận được SYN, cấp phát tài nguyên cho kết nối, ghi nhận trạng thái kết nối là "SYN_RECV" và gửi lại gói tin SYN-ACK (Synchronize-Acknowledge) cho client.
  3. Client gửi ACK: Client nhận SYN-ACK, gửi lại gói tin ACK (Acknowledge) để hoàn tất quá trình bắt tay. Kết nối được thiết lập và server chuyển trạng thái kết nối thành "ESTABLISHED".

Trong một cuộc tấn công SYN Flood, kẻ tấn công gửi hàng ngàn gói tin SYN đến server nhưng không bao giờ gửi gói tin ACK cuối cùng (hoặc sử dụng địa chỉ IP giả mạo để gói ACK không bao giờ đến được server). Điều này khiến server phải giữ các kết nối ở trạng thái "SYN_RECV" cho đến khi hết thời gian chờ (timeout), làm cạn kiệt bảng kết nối (connection table) và các tài nguyên khác. Kết quả là server không thể chấp nhận các kết nối hợp lệ từ người dùng thật.

Bước 2: Kích hoạt SYN Cookies​

SYN Cookies là một cơ chế phòng chống SYN Flood hiệu quả được tích hợp sẵn trong nhân Linux. Khi được kích hoạt, nó cho phép server phản hồi các yêu cầu SYN mà không cần cấp phát tài nguyên cho đến khi nhận được gói ACK cuối cùng từ client. Điều này giúp ngăn chặn việc bảng kết nối bị tràn ngập bởi các kết nối bán mở giả mạo.

Để kiểm tra trạng thái SYN Cookies:

sysctl net.ipv4.tcp_syncookies

Nếu kết quả là net.ipv4.tcp_syncookies = 0, có nghĩa là nó đang bị tắt. Để kích hoạt, bạn thực hiện như sau:

# Kích hoạt tạm thời (có hiệu lực đến khi reboot)
sudo sysctl -w net.ipv4.tcp_syncookies=1

# Kích hoạt vĩnh viễn (sau khi reboot vẫn có hiệu lực)
# Mở file cấu hình sysctl
sudo nano /etc/sysctl.conf

# Thêm hoặc chỉnh sửa dòng sau
# net.ipv4.tcp_syncookies = 1
# net.ipv4.tcp_syncookies = 1

# Áp dụng các thay đổi từ file sysctl.conf
sudo sysctl -p

✅ Sau khi áp dụng, hãy kiểm tra lại bằng sysctl net.ipv4.tcp_syncookies để đảm bảo nó đã được đặt thành 1.

Bước 3: Tối ưu hóa các Thông số TCP/IP​

Bên cạnh SYN Cookies, việc điều chỉnh một số thông số TCP/IP trong nhân Linux có thể cải thiện đáng kể khả năng chống chịu của server trước SYN Flood.

Mở file /etc/sysctl.conf để chỉnh sửa các thông số vĩnh viễn:

sudo nano /etc/sysctl.conf

Thêm hoặc chỉnh sửa các dòng sau:

# Tăng kích thước backlog cho các kết nối SYN chưa hoàn tất
# Đây là sử lượng tối đa các kết nối đang chờ (SYN_RECV) mà server có thể xử lý.
# Giá trị mặc định thường là 128 hoặc 256. Nên tăng lên 1024, 2048, hoặc 4096 tùy theo RAM và tải.
net.ipv4.tcp_max_syn_backlog = 4096

# Giảm số lần server gửi lại gói SYN-ACK cho một kết nối bán mở.
# Giảm giá trị này giúp giải phóng tài nguyên nhanh hơn nếu client không phản hồi.
# Mặc định là 5. Giảm xuống 2 hoặc 3.
net.ipv4.tcp_synack_retries = 2

# Khi backlog SYN đầy, server sẽ hủy các kết nối mới thay vì bỏ qua chúng.
# Điều này có thể giúp server không bị quá tải nhưng có thể từ chối các kết nối hợp lệ nếu không có SYN Cookies.
# Khi SYN Cookies được bật (như trong Bước 2), giá trị này ít quan trọng hơn nhưng vẫn nên đặt là 1.
net.ipv4.tcp_abort_on_overflow = 1

# Tăng kích thước hàng đợi cho các gói tin đầu vào.
# Giúp server có thể xử lý nhiều gói tin đến hơn trước khi bị tràn.
net.core.netdev_max_backlog = 8192

# Giảm thời gian kết nối ở trạng thái FIN-WAIT-2.
# Giúp giải phóng tài nguyên nhanh hơn sau khi kết nối đóng.
net.ipv4.tcp_fin_timeout = 30

Sau khi chỉnh sửa, lưu file và áp dụng các thay đổi:

sudo sysctl -p

💡 Tip: Các giá trị trên là gợi ý. Bạn có thể cần điều chỉnh chúng dựa trên cấu hình server, lượng traffic thông thường và mức độ nghiêm trọng của các cuộc tấn công mà bạn gặp phải.

Bước 4: Thiết lập Quy tắc Firewall để Giới hạn SYN Flood​

Sử dụng firewall như iptables hoặc UFW (Uncomplicated Firewall) để giới hạn số lượng gói tin SYN mà server có thể nhận trong một khoảng thời gian nhất định. Điều này giúp chặn các lưu lượng SYN độc hại trước khi chúng có thể làm đầy backlog của server.

Với iptables:​

# Giới hạn số lượng gói SYN mới đến cổng 80 (HTTP)
# -m limit: sử dụng module limit
# --limit 25/second: giới hạn 25 gói/giây
# --limit-burst 50: cho phép bùng nổ 50 gói trước khi giới hạn có hiệu lực
sudo iptables -A INPUT -p tcp --dport 80 --syn -m limit --limit 25/second --limit-burst 50 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 80 --syn -j DROP

# Tương tự cho cổng 443 (HTTPS)
sudo iptables -A INPUT -p tcp --dport 443 --syn -m limit --limit 25/second --limit-burst 50 -j ACCEPT
sudo iptables -A INPUT -p tcp --dport 443 --syn -j DROP

# Lặp lại cho bất kỳ cổng nào khác mà bạn muốn bảo vệ (ví dụ: 22 cho SSH, nhưng SSH thường có các biện pháp bảo mật khác)
# Lưu các quy tắc iptables để chúng tồn tại sau khi reboot (cách lưu tùy thuộc vào hệ điều hành của bạn)
# Ví dụ trên Ubuntu/Debian:
# sudo apt-get install iptables-persistent
# sudo netfilter-persistent save
# Hoặc trên CentOS/RHEL:
# sudo yum install iptables-services
# sudo service iptables save

⚠️ Cảnh báo: Việc đặt giới hạn quá thấp có thể chặn nhầm người dùng hợp pháp, đặc biệt trong các tình huống lưu lượng truy cập cao đột biến. Hãy theo dõi logs và điều chỉnh các giá trị limit và limit-burst cẩn thận.

Với UFW (Nếu bạn đang sử dụng UFW):​

UFW đơn giản hóa việc quản lý iptables. Để giới hạn tốc độ SYN trên UFW:

# Giới hạn kết nối SYN đến cổng 80 và 443
# Điều này sẽ giới hạn số lượng kết nối mới đến một cổng trong một khoảng thời gian ngắn.
# UFW tự động tạo các quy tắc iptables phức tạp hơn.
sudo ufw limit 80/tcp
sudo ufw limit 443/tcp

# Đảm bảo UFW đã được bật
sudo ufw enable

Bước 5: Cân nhắc các Giải pháp Nâng cao​

Đối với các server hoặc ứng dụng có giá trị cao, hoặc thường xuyên phải đối mặt với các cuộc tấn công lớn, các biện pháp trên có thể không đủ. Trong trường hợp này, bạn nên cân nhắc các giải pháp nâng cao:

  • Dịch vụ bảo vệ DDoS chuyên dụng (DDoS Protection Services): Các nhà cung cấp như Cloudflare, Akamai, AWS Shield, Google Cloud Armor cung cấp các dịch vụ bảo vệ DDoS ở cấp độ mạng, có thể hấp thụ và lọc bỏ lưu lượng tấn công trước khi chúng đến server của bạn.
  • Web Application Firewall (WAF): Một WAF có thể lọc lưu lượng truy cập dựa trên các quy tắc ứng dụng, giúp bảo vệ không chỉ khỏi SYN Flood mà còn nhiều loại tấn công khác.
  • Load Balancer (Bộ cân bằng tải): Một bộ cân bằng tải có thể phân phối lưu lượng truy cập qua nhiều server, giúp giảm tải cho một server duy nhất và có thể có các tính năng chống DDoS tích hợp.
  • Giám sát và Phân tích Lưu lượng (Traffic Monitoring and Analysis): Sử dụng các công cụ giám sát mạng để phát hiện sớm các dấu hiệu của tấn công SYN Flood và có hành động kịp thời.

Troubleshooting​

  • Server vẫn bị quá tải sau khi cấu hình:
    • Kiểm tra logs hệ thống và logs ứng dụng để tìm manh mối.
    • Đảm bảo sysctl -p đã được chạy và các thay đổi trong /etc/sysctl.conf đã được áp dụng.
    • Kiểm tra trạng thái iptables hoặc ufw để đảm bảo các quy tắc firewall đang hoạt động.
    • Nếu cuộc tấn công quá lớn, các biện pháp cấp độ hệ điều hành có thể không đủ. Cân nhắc giải pháp DDoS chuyên dụng.
  • Người dùng hợp pháp bị chặn:
    • ⚠️ Điều này thường xảy ra khi giới hạn firewall quá chặt. Xem xét tăng giá trị --limit và --limit-burst trong iptables hoặc điều chỉnh các quy tắc ufw.
    • Phân tích lưu lượng truy cập bình thường của bạn để đặt giới hạn hợp lý.
  • Các thay đổi trong /etc/sysctl.conf không có hiệu lực:
    • Đảm bảo không có lỗi cú pháp trong file.
    • Chắc chắn rằng bạn đã chạy sudo sysctl -p sau khi chỉnh sửa file.

Kết Luận​

Bảo vệ server khỏi tấn công SYN Flood là một phần quan trọng của chiến lược bảo mật server tổng thể. Bằng cách kích hoạt SYN Cookies, tối ưu hóa các thông số TCP/IP của nhân Linux và thiết lập các quy tắc firewall hợp lý, bạn có thể tăng cường đáng kể khả năng chống chịu của server trước các cuộc tấn công này.

Best practices:

  • Luôn theo dõi: Thường xuyên kiểm tra logs hệ thống và hiệu suất server để phát hiện sớm các dấu hiệu bất thường.
  • Cập nhật định kỳ: Đảm bảo nhân Linux và các phần mềm khác luôn được cập nhật phiên bản mới nhất để vá các lỗ hổng bảo mật.
  • Bảo mật đa lớp: Kết hợp các biện pháp phòng chống ở nhiều cấp độ (hệ điều hành, firewall, dịch vụ bên ngoài) để có lớp bảo vệ vững chắc nhất.
  • Kiểm tra và điều chỉnh: Các thông số tối ưu có thể thay đổi tùy thuộc vào tải của server và loại tấn công. Hãy kiểm tra và điều chỉnh cấu hình theo thời gian.

Với các bước hướng dẫn trên, bạn đã có một nền tảng vững chắc để bảo vệ server của mình khỏi các mối đe dọa từ tấn công SYN Flood. ✅

Xem thêm: