创建一个将侦听积压设置为最小值的 TCP 套接字作为一种限制新传入连接速率的方式会不会太天真？有问题的服务器工作负载在任何时候都不会期望有很多新连接，而是会花费大量时间来服务于长时间打开的持久连接。似乎新的传入连接不应影响已建立的连接，尽管我无法在任何文本中找到任何明确的答案。失败的新传入连接是否有可能在服务器上使用它接收的数据包创建某种 TCP 流量拥塞，或者它们丢弃的速度是否足够快以至于它对任何缓冲区或网络堆栈的其他部分没有影响？
具体来说，使用的平台是 Linux，虽然它在不同操作系统中的处理方式可能不同，但我希望它们的行为大致相同。
编辑我所说的“相同”是指积压不会影响已建立的连接，尽管我知道 Linux 会在 Windows 发送重置时丢弃它们。
【问题讨论】：
标签： sockets tcp network-programming
listen() backlog 会影响已建立的 TCP 连接吗？
它影响服务器尚未通过accept(), 接受的已建立连接，只是因为它限制了可以存在的此类连接的数量。
创建一个将侦听积压设置为最小值的 TCP 套接字作为一种限制新传入连接速率的方式会很天真吗？
它所要做的就是让一些连接的客户端不必要地失败。无论如何，在您的服务器解决之前，他们不会获得任何服务，并且一旦积压队列填满，他们无论如何都会受到您的服务代码的速率限制。没有特别的理由说明缩短队列会产生任何有益效果。这个想法的另一个问题是，很难确定实际最小值是多少，或者您是否成功地将其设置为积压队列长度。
似乎新的传入连接不应影响已建立的连接，尽管我无法在任何文本中找到任何明确的答案。
没错。它没有理由应该影响他们：这就是为什么你不会在任何地方发现它被写下来，就像月相也不会影响它一样。
失败的新传入连接是否有可能在服务器上使用它接收的数据包造成某种 TCP 流量拥塞
没有。
或者它们的删除速度是否足够快以至于对任何缓冲区或网络堆栈的其他部分都没有影响？
它们没有被丢弃。如果它们不适合积压队列，它们甚至都不会被创建。因此，他们在服务器上的资源消耗为零。
具体来说，使用的平台是 Linux，虽然它在不同操作系统中的处理方式可能不同，但我希望它们的行为大致相同。
他们没有。在 Windows 上，当积压队列已满时的传入连接会导致发出 RST。在其他平台上，它会被忽略。
【讨论】：
您描述的是几种类型的攻击，例如泛洪攻击、syn 攻击和其他导致拒绝服务的好东西。
这个话题并不容易，因为保护必须在所有层中实现，包括 TCP。例如 SYN 攻击，摆弄序列号，...。那时有问题的数据包已经走了很长一段路，通过以太网层和IP层，底线是占用资源。因此，如果您的系统受到攻击，攻击数据包就会像好的数据流一样在您的数据流中。您越快检测到数据包有问题并丢弃它越好。通常，受到攻击的系统会变慢。至少是我使用过的系统。
一些攻击试图通过利用错误使您的系统永久处于故障状态。例如 TCP 有一个接收队列，如果数据包不断地乱序到达，它们将被存储在该接收队列中。如果丢失的数据包永远不会到达，那么这个接收队列可能会继续增长。如果没有适当的防御，这将导致系统完全耗尽资源。
有专门的工具（例如 codenumicon）来检查 TCP 堆栈实现的漏洞。您可以假设 linux 上的那个已经使用类似的工具进行了适当的测试。
攻击也可能发生在应用层。如果您有一个 TCP 服务器并且它只允许有限数量的会话。恶意用户可以简单地通过建立所有连接然后不对其进行任何操作来获取所有连接。所以你也必须创造一些防御。天气与否，您将此限制设置得非常低或高都不会改变任何事情。恶意用户会尝试任何事情来关闭您的系统。无论如何，您都需要建立防御。您可以简单地使用 telnet 连接到网络服务器 (HTTP)。如果您不发送任何内容，服务器的防御将发挥作用并关闭连接。
因此，将可能的连接数量降低到一个低值并认为这本身就是一种保护形式确实是幼稚的。
失败的新传入连接是否有可能在服务器上使用它接收的数据包造成某种 TCP 流量拥塞，或者它们丢弃的速度是否足够快以至于对任何缓冲区或网络堆栈的其他部分没有影响？
它们正在使用您机器的资源，会使您的系统运行速度变慢。
似乎新的传入连接不应影响已建立的连接，尽管我无法在任何文本中找到任何明确的答案。
如果是普通用户尝试建立连接，即使他一直在做，失败时重试。影响将是微乎其微的，几乎没有。但是恶意用户泛滥连接尝试会对系统性能产生影响，因为系统必须花时间识别那些有缺陷的数据包并尽快丢弃它们。
【讨论】：