Архитектура ошибки и симптомы сбоя

Сообщение «TCP: drop open request from IP / SYN flooding on port» (или «Possible SYN flooding on port X. Sending cookies») генерируется сетевым стеком ядра Linux. Ошибка указывает на то, что очередь полуоткрытых соединений (SYN Backlog Queue) для указанного TCP-порта переполнена. Приложение (Web-сервер, СУБД) не успевает обрабатывать входящие трехсторонние рукопожатия (TCP 3-Way Handshake), либо сервер подвергся сетевой атаке типа TCP SYN Flood.

Диагностическая таблица параметров сбоя

Пошаговое дерево решений и сценарии траблшутинга

Сценарий 1: Проверка длины очереди сетевого сокета

Определите сервис и переполненные очереди сокетов:

# Просмотр сокетов с переполненным Send-Q / Recv-Q:
ss -lnt

# Проверка текущего количества полуоткрытых сессий (SYN_RECV):
netstat -n -p | grep SYN_RECV | wc -l

Сценарий 2: Активация TCP SYN Cookies и увеличение очередей в sysctl

# Внесите оптимизации в /etc/sysctl.d/99-tcp-syn.conf:
cat <<EOF | sudo tee /etc/sysctl.d/99-tcp-syn.conf
# Включение защиты SYN Cookies:
net.ipv4.tcp_syncookies = 1

# Увеличение размера очереди полуоткрытых сессий:
net.ipv4.tcp_max_syn_backlog = 65535

# Увеличение максимального размера очереди подключений ядра:
net.core.somaxconn = 65535

# Увеличение входной очереди сетевых карт:
net.core.netdev_max_backlog = 65535

# Сокращение количества повторных попыток отправки SYN-ACK:
net.ipv4.tcp_synack_retries = 2
EOF
sudo sysctl -p /etc/sysctl.d/99-tcp-syn.conf

Сценарий 3: Увеличение лимита backlog в конфигурации веб-сервера

Убедитесь, что само приложение использует расширенную очередь. Например, для Nginx:

# В /etc/nginx/nginx.conf в блоке server listen:
listen 80 backlog=65535;
listen 443 ssl backlog=65535;