一、TCP攻击难防，难在状态机被利用
很多用户对DDoS的理解停留在“带宽被塞满”，但TCP攻击往往不依赖海量带宽。攻击者只要用少量伪造包把服务器的半连接队列或会话表占满，正常业务就会中断。成都机房遇到的大量工单里，TCP攻击集中表现为SYN Flood、ACK/PSH ACK Flood、空连接、Sockstress几类。它们分别打击Linux内核的三次握手状态机、连接跟踪表、窗口计算和重传队列，因此单纯在边界加防火墙规则很难奏效。
1.1 SYN Flood：不是带宽问题，是队列问题
SYN Flood发送大量首包，使服务器产生大量SYN_RECV半开连接。传统系统参数net.ipv4.tcp_max_syn_backlog和tcp_syncookies只能缓解，无法在高pps下保持业务质量。一旦半连接队列溢出，正常用户的SYN会被丢弃，表现为“网站时好时坏、部分用户打不开”。成都高防节点在处理这类攻击时，优先不是丢包，而是在接入层完成TCP代理，让伪造源不再直接触达源站协议栈。
1.2 ACK/PSH ACK与空连接：更隐蔽的会话表消耗
ACK Flood的包通常很短，源IP可随机伪造，目标端口常为80/443。如果源站开启了iptables或conntrack，每个伪造会话都会占据一条连接跟踪记录。攻击持续几分钟后，nf_conntrack表满，新连接被内核直接丢弃。空连接攻击更隐蔽，它完成三次握手后不发送数据，仅维持大量ESTABLISHED连接，消耗应用层worker和文件描述符。这类攻击的流量可能只有几百Mbps，但业务已经不可用。
二、成都高防机房的清洗链路如何拆解TCP攻击
择快云成都高防服务器部署在西部骨干汇聚节点，电信、联通、移动三线接入，默认提供T级清洗容量。成都节点的价值不只是带宽，而在于BGP牵引后，攻击流量先进入清洗中心，由多个检测平面做包速率、会话增长率、SYN与ACK比例、TCP窗口行为分析，再决定丢弃、限速或源认证。源站只接收过滤后的回源流量，公网IP由高防节点代播。
2.1 首包丢弃与SYN Proxy：切断伪造源
SYN Flood防护的核心是首包丢弃和SYN Proxy。清洗设备对新建连接的SYN先代答，不直接转发给源站；客户端必须完成ACK响应，才将连接重新代理到源站。对于伪造源IP的攻击包，由于不会返回合法ACK，连接在代理层被丢弃。成都节点的SYN Proxy策略可按端口和业务类型开启，游戏、API、HTTPS的首次握手时延通常增加5-15ms，但连接建立成功率可从压测时的30%以下提升到99%以上。
2.2 包速率基线与会话指纹
ACK/PSH ACK Flood的难点在于单包看起来“合法”，所以成都高防的检测不是只看包内容，而是看统计特征。比如正常HTTPS会话中ACK包占比通常低于70%，攻击时ACK占比可超过95%；正常TCP窗口会随拥塞变化，反射型攻击窗口固定或随机。清洗设备会建立源站业务基线，对偏离基线的流量做源认证或限速。对空连接攻击，则通过TCP空闲超时压缩和连接代理回收，把空闲连接从分钟级缩短到秒级，源站不再被大量不传数据的连接拖死。
三、择快云成都高防服务器租用的配置建议
在成都高防服务器上做TCP攻击防护，不能只买一个“防多少G”的套餐。因为TCP攻击更考验设备的新建连接处理能力、会话表规模、策略响应速度。租用时建议从业务类型、用户分布、防御规格三方面评估。成都节点对西南、西北地区的游戏、APP、企业API和金融业务访问质量较好，延迟比绕行东部节点低20-40ms。如果业务用户集中在长三角，也可对比台州、扬州、宁波节点；中部可选襄阳、德阳、眉山等，但本文聚焦成都节点。
3.1 防御规格看pps，不止看Gbps
很多TCP攻击的带宽不大，但包速率很高。例如64字节SYN包在10Gbps链路上约能打出14.88Mpps，足以打满中低端清洗设备。选择成都高防服务器时，要关注清洗节点的pps处理能力、并发会话数、每秒新建连接数。择快云成都机房的清洗集群支持亿级并发会话，单IP可弹性提升新建连接处理能力，适合频繁遭受SYN Flood和CC类攻击的业务。
3.2 源站隐藏与回源策略
高防服务器上线后，源站真实IP尽量只允许高防回源段访问，数据库、SSH、管理后台都绑定内网。TCP攻击中常见攻击者先通过历史DNS、邮件头、证书信息找到源站真实IP，绕过清洗直接打源站。成都节点的BGP牵引和高防IP代播能隐藏源站，但前提是业务不主动泄露真实地址。回源流量建议走专线或加密隧道，避免在公网被旁路监听。
四、一次SYN Flood压测中的表现
我们模拟过一组数据：对成都高防节点某测试IP发起12Gbps SYN Flood，包速率约3.2Mpps，源IP随机伪造，目标80端口。攻击启动后第4秒清洗完成牵引，首包丢弃生效。源站侧TCP连接队列深度从82%降至5%，新建连接成功率维持在99.2%。持续压测30分钟，业务端口HTTP响应时间中位数从正常时的48ms升至63ms，未出现服务不可用。测试结束后对空连接攻击继续压测，连接代理回收将ESTABLISHED数量从峰值41万压降到2万以内。
从这个结果看，TCP攻击防护的关键不在于把带宽“硬扛”下来，而在于清洗节点是否理解TCP状态机，能否在正确的位置打断攻击链。成都高防服务器依托本地骨干接入和清洗集群，在SYN Proxy、会话表回收、ACK比例基线方面做得比较完整。
五、总结
TCP攻击的威胁正在从大流量向高pps、状态耗尽、行为绕过演进。选成都高防服务器，本质是选一套能处理TCP状态异常的清洗体系，而不是单纯买带宽。对经常遭受SYN Flood、ACK Flood、空连接攻击的业务，建议优先测试成都节点的首包丢弃、SYN代理和会话老化策略，再结合择快云高防服务器租用的弹性防御规格上线。更多配置可参考择快云官网服务器租用栏目。
