路由器组网之tcp intercept和syn攻击实验

1、实验之前简单说一下syn攻击的内容。TCP建立连接一共有三次握手过程，首先是客户端以一个随机的端口号为源端口，以目的服务的tcp端口号为目的端口，发起一个syn的连接，当服务器收到这个连接之后，会会送一个syn ack的包，这个包中就包括了建立连接的一些属性参数之类的东西了。同时服务器会预留一个位置给这个连接，这个时候正常情况下客户端会会送一个ack的包，这样就可以建立连接了，但是黑客在这个时候就会撑着服务器，然后再发一个建立连接的包，这样服务器一直预留连接，就会把服务器的资源消耗干净了，正常的服务就无法提供了。
2、注意的是这个服务只针对tcp的连接，如果一个服务使用的不是tcp的连接，那么自然不能收到攻击。
3、思科的ios对这个攻击的解决办法有两种，一个是路由器的ios会模拟成一个tcp的服务器和客户端建立连接，当能够三次握手之后，再模仿客户端和后台的真正服务器建立三次握手，这样只有真正好的好人才能最终连接到真实的tcp服务器，这样也就保证了tcp服务器的安全。另一个方式是客户端正常的和真实的tcp服务器连接，但是你通过路由器转发的时候，路由器会限制你的发送时间，只有在一个特定的时间内建立了连接才算数，超过这个时间，路由器会发送一个释放连接的包给tcp服务器，这样tcp服务器不会死等黑客的所谓连接了。
4、这个安全特性使用性不太高，实验它只是为了了解其中的防护方法，拓展思维罢了。真正的如果有DOS攻击，保护了tcp服务器了，但是路由器的负荷会非常大的，服务器没事，路由器就挂了。

RFC1918:
3. 私有地址空间
因特网域名分配组织IANA组织（Internet Assigned Numbers Authority）保留了以下三个IP地址块用于私有网络。
10.0.0.0       -   10.255.255.255    (10/8比特前缀)
172.16.0.0     -   172.31.255.255    (172.16/12比特前缀)
192.168.0.0    -   192.168.255.255   (192.168/16比特前缀)
我们把第一块称为“24-比特块”，第二块称为“20-比特块”，第三块称为“16-比特块”注意（在前面的CIDR 记号中），第一块地址就是一个A类网络号，第二块地址是16个连续的B类网络号集合，第三块地址是256个连续的C类网络号集合。
一个决定使用该文档中定义的IP地址空间的企业不需要与IANA组织或Internet 地址注册组织进行协商。这样，该地址空间可以被许多企业使用。私有地址空间中的地址仅在一个企业内部或在一组选择在该空间协同通信的企业内部保证唯一，这样他们可以在自己拥有的私有网络内部实现通信。
以前，任意一个需要使用全局唯一地址的企业必须向Internet注册机构提出申请。上述定义的私有地址空间中的地址块将不会被Internet注册机构分配给一个申请用于外部连接的IP地址的企业。

RFC3330:(扩大版的1918)
3. Summary Table

   Address Block             Present Use                       Reference
   ---------------------------------------------------------------------
   0.0.0.0/8            "This" Network                 [RFC1700, page 4]
   10.0.0.0/8           Private-Use Networks                   [RFC1918]
   14.0.0.0/8           Public-Data Networks         [RFC1700, page 181]

RFC2827:
建议ISP在用户连接的端口上开启访问控制列表，deny掉除分配给客户的公网IP以外的所有IP地址到Internet上去。