华为设备默认启用TCP SYN泛洪保护，可通过display命令验证；手动配置需执行anti-attack tcp-syn enable及car限速（建议设为上行带宽5%~10%），并推荐结合cpu-defend策略增强防护效果。
直接开启 TCP SYN 泛洪保护，核心是限制非法连接请求的速率，防止设备被半连接耗尽资源。华为主流交换机（如 S7700、CloudEngine 系列）和路由器（如 NetEngine AR/8000X）都支持该功能，配置逻辑一致，不依赖额外模块或 License。
确认设备已支持并默认启用
多数华为设备在 V200R023C00 及后续版本中，默认已开启 TCP SYN 泛洪攻击防范功能。可通过以下命令快速验证：
- display anti-attack statistics tcp-syn：查看当前统计，若“SYN packets dropped”有非零值，说明功能已在运行；
-
display current-configuration | include anti-attack：检查配置中是否含
anti-attack tcp-syn enable或anti-attack enable。
手动启用与速率调优
若未启用或需精细化控制，进入系统视图后执行以下操作：
- anti-attack tcp-syn enable：显式开启 TCP SYN 防范（缺省通常已启用，但建议明确配置）；
- anti-attack tcp-syn car cir 10000000：将限速设为 10 Mbps（即 10,000,000 bit/s）。缺省值 155 Mbps 过高，对边缘设备易失效；实际建议按业务流量 5%~10% 设置，例如上行带宽 100 Mbps 的接入设备，可设为 5–10 Mbps；
- 如需一键启用全部防攻击能力（含畸形报文、分片、UDP/ICMP 泛洪等），可用 anti-attack enable，但需注意避免误伤合法突发流量。
结合防攻击策略增强可靠性
仅靠全局限速不够稳健，推荐搭配 CPU 防护策略使用：
- 创建独立策略：cpu-defend policy syn-protection；
- 在策略中启用 TCP SYN 防范：tcp-syn-defend enable（部分型号支持更细粒度控制）；
- 将策略应用到关键接口板：cpu-defend-policy syn-protection；
- 配合 display cpu-defend statistics 观察上送 CPU 的 SYN 报文是否被有效拦截。
验证与日常监控
配置后不能只看“生效”，要持续关注实效：
- 每小时执行一次 display anti-attack statistics tcp-syn，观察丢包率是否稳定在合理区间（突增可能表示正遭攻击）；
- 若发现大量合法连接被误丢（如用户投诉无法建连），需适当上调 cir 值，但不宜超过链路带宽的 15%；
- 建议与 NTP 时间同步、日志服务器联动，确保攻击事件可追溯。
