tcp_tw_reuse的安全隐患与最佳实践

创作时间:

作者:

@小白创作中心

引用

CSDN

等

来源

https://blog.csdn.net/qq_25046827/article/details/131839126

https://blog.csdn.net/super8ayan/article/details/132504714

https://blog.csdn.net/qq_31871661/article/details/132150620

https://www.cnblogs.com/sea520/p/12612128.html

https://xiaolincoding.com/network/3_tcp/tcp_tw_reuse_close.html

https://tech.youzan.com/you-zan-tcpwang-luo-bian-cheng-zui-jia-shi-jian/

https://bbs.sangfor.com.cn/forum.php?mod=viewthread&tid=208057

https://cloud.tencent.com/developer/article/1558761

在高并发网络环境中，Linux内核参数tcp_tw_reuse常被用来优化TCP连接性能。然而，这个看似简单的参数却潜藏着不容忽视的安全隐患。本文将深入探讨tcp_tw_reuse可能导致的问题，并提供相应的解决方案。

在TCP协议中，当一个连接被主动关闭时，会进入TIME_WAIT状态。这个状态会持续2MSL（Maximum Segment Lifetime）的时间，通常为60秒。TIME_WAIT状态的存在有两个主要目的：

防止历史数据干扰新连接：由于TCP序列号是32位无符号数，最大值为4G，当序列号回绕到0时，可能会与新连接的序列号冲突。TIME_WAIT状态确保旧连接的所有数据包在网络中消失，避免影响新连接。
保证连接可靠关闭：如果最后一次ACK报文丢失，被动关闭方会重传FIN报文。TIME_WAIT状态允许主动关闭方重新发送ACK，确保连接优雅关闭。

当启用tcp_tw_reuse时，系统会尝试重用处于TIME_WAIT状态的连接。虽然这可以提高端口利用率和连接建立速度，但也带来了以下风险：

序列号回绕导致连接中断：如果旧连接的延迟报文在网络中滞留时间超过2MSL，当新连接复用了相同的四元组（源IP、源端口、目的IP、目的端口），这些延迟报文可能被新连接接收，导致数据错乱或连接中断。
RST报文攻击：在网络延迟较高或数据包重复的情况下，旧连接的RST报文可能被误认为是新连接的控制报文，导致新连接被异常中断。
NAT环境下的时间戳问题：在NAT（网络地址转换）环境下，多个设备可能共享相同的公网IP。如果启用了tcp_tw_reuse，不同设备的时间戳可能会发生冲突，导致数据包被错误地丢弃。

虽然tcp_tw_reuse存在安全隐患，但在某些场景下仍然可以谨慎使用。以下是一些最佳实践：

非NAT环境下的使用：在没有NAT的环境中，如果网络延迟较低且稳定，可以考虑开启tcp_tw_reuse。但必须确保tcp_timestamps也被开启，以利用时间戳避免序列号回绕问题。
调整其他参数：可以通过调整tcp_fin_timeout参数来缩短FIN_WAIT_2状态的持续时间，从而减少TIME_WAIT状态的数量。例如，将其设置为30秒：
```
sysctl -w net.ipv4.tcp_fin_timeout=30
```
使用SO_REUSEADDR：在服务端监听端口时，可以使用SO_REUSEADDR选项。这个选项允许在TIME_WAIT状态的端口上重新绑定监听套接字，但需要注意的是，这并不意味着可以随意复用连接，而是在端口层面提供了一定的灵活性。
合理配置防火墙规则：确保防火墙规则允许合法的TCP连接复用，同时阻止可能的攻击行为。