TCP/IP安全設置除了上述所列出的設置之外，可以修改下列項以輔助系統更有效地抵御攻擊。請注意，這些推薦值決不是使系統不受攻擊，而只在于調整TCP/IP棧防范攻擊。這些項的設置并不涉及系統上的許多其它組件（可能被用于攻擊系統）。對于注冊表的任何更改，管理員必須充分了解這些更改對系統默認功能的影響以及在他們的環(huán)境中是否適當。
SynAttackProtect
項：TcpipParameters
數值類(lèi)型：REG_DWORD
有效范圍：0、1、2
0（沒(méi)有SYN攻擊保護）
1（如果滿(mǎn)足TcpMaxHalfOpen和TcpMaxHalfOpenRetried設置，減少重傳重試次數與延遲的RCE（路由緩存項）創(chuàng )建。）
2（除1之外的另一個(gè)Winsock延遲指示。）
備注當系統發(fā)現自己受到攻擊時(shí)，任何套接字上的下列選項不再啟用：可縮放窗口(RFC 1323)與每個(gè)適配器上已配置TCP參數（初始RTT、窗口大?。?。這是因為當保護生效時(shí)，在發(fā)送SYN-ACK之前不再查詢(xún)路由緩存項，并且連接過(guò)程中Winsock選項不可用。
默認值：0 (false)
推薦值：2
說(shuō)明：SYN攻擊保護包括減少SYN-ACK重傳次數，以減少分配資源所保留的時(shí)間。路由緩存項資源分配延遲，直到建立連接為止。如果synattackprotect = 2，則AFD的連接指示一直延遲到三路握手完成為止。注意，僅在TcpMaxHalfOpen 和TcpMaxHalfOpenRetried設置超出范圍時(shí)，保護機制才會(huì )采取措施。
TcpMaxHalfOpen
項：TcpipParameters
數值類(lèi)型：REG_DWORD -數字
有效范圍：100-0xFFFF
默認值：100 (Professional、Server)、500 (Advanced Server)
說(shuō)明：該參數控制SYN攻擊保護啟動(dòng)前允許處于SYN-RCVD狀態(tài)的連接數量。如果將SynAttackProtect設為1，確保該數值低于要保護的端口上AFD偵聽(tīng)預備的值（有關(guān)詳細信息，參見(jiàn)附錄C中的預備參數）。有關(guān)詳細信息，請參見(jiàn) SynAttackProtect參數。
TcpMaxHalfOpenRetried
項：TcpipParameters
數值類(lèi)型：REG_DWORD -數字
有效范圍：80-0xFFFF
默認值：80 (Professional、Server)、400 (Advanced Server)
說(shuō)明：該參數控制在SYN攻擊保護啟動(dòng)前處于SYN-RCVD狀態(tài)的連接數量，對于該連接至少有一個(gè)SYN重傳已經(jīng)發(fā)送。有關(guān)詳細信息，參見(jiàn)SynAttackProtect 參數。
EnablePMTUDiscovery
項：TcpipParameters
數值類(lèi)型：REG_DWORD -布爾值
有效范圍：0、1（false、true）
默認值：1 (true)
推薦值：0
說(shuō)明：將該參數設置為1 (true)時(shí)，TCP將查找到達遠程主機路徑上的最大傳輸單位（MTU或最大的數據包大?。?。通過(guò)發(fā)現路徑MTU并將TCP字段限制到這個(gè)大小，TCP可以限制在連結到不同的MTU網(wǎng)絡(luò )的路由器上的碎片。碎片會(huì )影響 TCP吞吐量和網(wǎng)絡(luò )堵塞。將這個(gè)參數設置成0，會(huì )導致為所有不在本地子網(wǎng)上主機連接使用576字節的MTU。
（未完待續）
聯(lián)系客服
