最有效手段是直接调系统协议栈参数：启用synattackprotect（win2000/xp设为2，win2003+设为1），同步配置tcpmaxhalfopen（如500）、tcpmaxhalfopenretried（如400）、tcpmaxportsexhausted（如5）；禁用ip源路由、icmp重定向、ip转发；启用分片检查；缩短keepalivetime、禁用pmtu发现等。
直接调系统协议栈参数，是防御特定网络攻击最底层也最有效的手段之一。它不依赖额外软件或硬件，而是让操作系统自身在网络连接建立、数据包处理等关键环节变得更“警惕”、更“克制”，尤其适合应对SYN Flood、IP欺骗、路由劫持等基于协议缺陷的攻击。
针对SYN Flood：启用并配置SynAttackProtect机制
SYN Flood利用TCP三次握手的半开连接特性，耗尽服务器连接资源。Windows系统内置SynAttackProtect机制，但默认不激活。
- 在注册表HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters下新建或修改SynAttackProtect为DWORD值：Win2000/XP设为2（启用增强模式），Win Server 2003及以后设为1（仅支持该值）
- 同步调整三个判定阈值：TcpMaxHalfOpen（如500）、TcpMaxHalfOpenRetried（如400）、TcpMaxPortsExhausted（如5），数值需结合业务并发量合理设定，过低会误触发，过高则起不到防护作用
- 启用后，系统会在检测到异常半连接激增时自动缩短SYN-ACK重传间隔、禁用部分非关键TCP选项（如滑动窗口动态调整），优先保障连接建立流程的韧性
防范IP与路由层欺骗：关闭危险协议特性
ICMP重定向、源路由、IP转发等功能常被用于中间人或路径劫持攻击，多数服务器场景完全不需要。
- 禁用IP源路由：DisableIPSourceRouting = 1
- 禁用ICMP重定向响应：EnableICMPRedirect = 0（位于AFD参数路径下）
- 关闭IP转发：IPEnableRouter = 0，除非你确实在做路由器角色
- 启用分片检查：EnableFragmentChecking = 1，可识别并丢弃恶意构造的分片报文
加固传输行为：减少暴露面与响应延迟
让协议栈对异常行为更“冷淡”，降低攻击成功率和信息泄露风险。
- 缩短KeepAlive探测周期：KeepAliveTime = 300000（5分钟），加快僵死连接释放
- 禁用PMTU发现：EnablePMTUDiscovery = 0，防止攻击者利用路径MTU探测实施侦察
- 关闭无意义的ICMP响应：EnableAddrMaskReply = 0，避免泄露子网掩码信息
- 设置合理TTL值：DefaultTTL = 64（不必设256，过高可能助涨跨网段扫描）
注意适配性与验证
这些修改直接影响网络行为，不能照搬通用值。
- 不同Windows版本对同一键值含义不同（如SynAttackProtect在Win2003只认0/1），务必查证对应系统文档
- 修改后需重启TCP/IP协议栈（或重启系统），并用netstat -s观察SYN_RECV连接数、重传统计等指标是否符合预期
- 建议先在测试环境模拟SYN Flood（如hping3），验证防护是否生效，再上线
