HAProxy通过默认保护自己免受tcp syn泛滥攻击

Question

HAProxy默认保护自己免受TCP SYN泛滥或DOS攻击吗？如果没有，那么我怎样才能保护HAProxy负载平衡器免受这些攻击？

Answer 1

不，它不会（如果你有简单的examples他们提供或遵循大多数教程），但this HAProxy博客涵盖SYN洪水攻击和一些DoS攻击。

你可以在内核级以下设置强化您的防范SYN攻击系统的sysctl：

administrator@HAProxyUbuntu:~$ sysctl -a 
    net.ipv4.conf.all.rp_filter = 1 
    net.ipv4.tcp_syncookies = 1 
    net.ipv4.tcp_max_syn_backlog = 1024 
    net.ipv4.tcp_synack_retries = 3 

的max_syn_backlog值可以从HAProxy的使用积压参数传递：

为了防止SYN洪水攻击，一种解决方案是增加系统的SYN backlog大小。根据系统的不同，有时候通过系统参数可以调整 ，有时根本不可调整，有时系统依赖于应用程序在listen（）系统调用时给出的提示。默认情况下，HAProxy将前端的maxconn值 传递给listen（）系统调用。在可以使用此值的系统上，有时可以使用 来指定不同的值，因此这个012log积压参数。

http://cbonte.github.io/haproxy-dconv/1.6/configuration.html#4.2-backlog