服务器无法真正自动检测并响应DDoS攻击，所谓“自动”实为监控脚本持续采集ss -s、/proc/net/sockstat等硬指标，发现SYN队列溢出、TIME-WAIT堆积或非业务端口连接异常后，调用sysctl或iptables临时干预；仅可安全调整tcp_max_syn_backlog、somaxconn、tcp_tw_reuse等参数，严禁自动化修改tcp_tw_recycle、ip_local_port_range或无条件封禁策略。

服务器无法真正“自动检测攻击特征并收紧连接表或关端口”——Linux 内核本身不识别DDoS或拒绝服务行为，所有所谓“自动响应”，本质是外部监控脚本持续采集硬指标，发现异常后调用命令临时干预。关键在于盯准可量化、低误报的信号，并只动安全范围内参数。

必须实时盯住的三个核心指标

不用装额外工具，靠系统自带命令就能获取真实压力信号：

• SYN 队列是否溢出：运行 ss -s | grep "synrecv"，若返回值接近或等于 tcp_max_syn_backlog（默认常为128或256），或 dmesg 中出现 possible SYN flooding on port，说明连接请求已压垮入口队列
• TIME-WAIT 连接是否堆积：执行 awk '/TW/ {print $2}' /proc/net/sockstat，连续两分钟高于25000，且应用层无大量短连接需求，大概率是异常扫描或慢速攻击所致
• 非业务端口是否有活跃连接：用 ss -tuln | grep -vE ':(80|443|22|3306|8080) '（按实际业务端口调整）快速列出监听但非核心的端口；再结合 ss -tn state established | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -nr | head -5 查看哪些IP在疯狂连非业务端口

可安全收紧的内核连接状态表参数

仅限运行时动态调整，必须配合阈值判断，不能无条件拉满：

• 当 synrecv 数量持续超过当前 tcp_max_syn_backlog 的70%，立即同步调高两项：
  sysctl -w net.ipv4.tcp_max_syn_backlog=65535
  sysctl -w net.core.somaxconn=65535
  （注意：两个值必须一致，否则以较小值生效）
• 确认不是NAT环境且服务器仅作客户端用途时，启用连接复用：
  sysctl -w net.ipv4.tcp_tw_reuse=1
• 若 /proc/net/sockstat 中TW值长期超30000，且业务无长连接依赖，可缩短回收时间：
  sysctl -w net.ipv4.tcp_fin_timeout=25

关闭非业务端口的实操方式

不推荐直接停服务进程，优先用防火墙精准阻断，保留日志和回滚能力：

• 查出监听但未被业务调用的端口（如 23、139、445、3389 等）：
  ss -tuln | awk '$5 ~ /:[0-9]+$/ {split($5,a,":"); print a[2]}' | sort -u
• 对每个非必要端口，添加DROP规则并记录日志：
  iptables -A INPUT -p tcp --dport 139 -j LOG --log-prefix "BLOCKED_SMB: "
  iptables -A INPUT -p tcp --dport 139 -j DROP
• 保存规则防止重启丢失（CentOS/RHEL）：
  service iptables save 或 iptables-save > /etc/sysconfig/iptables

绝对禁止自动化的操作

以下动作一旦由脚本擅自触发，极易引发大面积连接中断甚至服务不可用：

• net.ipv4.tcp_tw_recycle=1：内核5.4+已彻底移除，旧版开启会导致NAT环境下90%以上客户端连接失败
• net.ipv4.ip_local_port_range 缩小范围：会直接降低并发出站连接能力，影响健康检查、上游调用等正常逻辑
• 未经确认直接 killall -9 监听进程：可能误杀监控、日志或配置同步组件
• 用 ufw default deny 或全盘 iptables -P INPUT DROP：没有白名单兜底就等于自断后路