连接vps 输入第一个命令
netstat -anp |awk ‘{print $6}’|sort|uniq -c |sort -rn
这里我们查看SYN_RECV这些，看他的连接数高不高，好几百，就有可能被ddos了
接下来追查是来自哪个ip发出syn的
指令：netstat -an | grep SYN | awk ‘{print $5}’ | awk -F: ‘{print $1}’ | sort | uniq -c | sort -nr | more
接下来继续看下，输入指令
netstat -ntu | grep SYN | awk ‘{print $5}’ | cut -d: -f1 | sort | uniq -c | sort -n more
netstat -an | grep SYN | awk ‘{print $5}’ | awk -F: ‘{print $1}’ | sort | uniq -c | sort -nr | more
确认了被syn攻击后，我们来改动下syn
查看默认的syn配置
输入 sysctl -a | grep _syn
可以看到，这个是我已经配置好了的，大家可以参考
net.netfilter.nf_conntrack_tcp_timeout_syn_sent = 120
net.netfilter.nf_conntrack_tcp_timeout_syn_recv = 60
net.ipv4.tcp_syn_retries = 3
net.ipv4.tcp_synack_retries = 3
net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 10240
tcp_max_syn_backlog是SYN队列的长度，加大SYN队列的长度可以容纳更多等待网络连接数。tcp_syncookies是一个开关，打开SYN cookie 功能，可以防止部分SYN攻击。tcp_synack_retries和tcp_syn_retries定义SYN 的重试连接次数，将默认的参数减小来控制SYN连接次数的尽量少。
修改方法，使配置立即生效，无需重启，可以执行
#sysctl -w net.ipv4.tcp_max_syn_backlog=10240
#sysctl -w net.ipv4.tcp_syncookies=1
#sysctl -w net.ipv4.tcp_synack_retries=3
#sysctl -w net.ipv4.tcp_syn_retries=3
这样就可以了，之后可以再次输入最前面的命令，来查看syn是否降下来了
