tcpip三次握手,DDOS攻击！如何有效屏蔽？

tcpip三次握手,DDOS攻击！如何有效屏蔽？详细介绍

本文目录一览： TCPIP通信建立的过程是什么

　　1、TCP、IP通信过程，简单为，三次建立，四次断开；

　　2、三次建立，三次握手完成，主机A和主机B能够建立连接；

　　3、四次断开，某个应用进程先调用close，称该端执行主动关闭，该端的TCP发送一个FIN分节，表示数据发送完毕一段时间的等待后，接收到这个文件结束符的应用进程将调用close关闭它的套接字，所以它的TCP也发送一个FIN，接收到这个最终FIN的原发送端TCP确认这个FIN，因为每个方向都需要一个FIN和ACK,所以断开需要四个次连接。

tcpip为什么要进行三次握手

确认网络传输有效
因为TCP是面向连接的，在传输之前要通过三次握手，建立连接，然后进行传输

tcpip三次握手是什么意思

就是俩人在传递东西之前先喊一声确认对方能不能接收。
1.喂，在吗？
2.在！
3.好的！

http-tcpip协议

为了简化网络的复杂度,网络通讯的不同方面被分解为多层次的结构,每一层只与紧挨着的上层或者下层进行交互,将网络分层,这样可以修改,甚至替换每一层的软件,只要层于层之间的接口保持不变,就不会影响到其他层. 网络分层的两种模型 OSI(Open System Interconnection Reference Model):开放系统互联参考模型 TCP/IP 协议族
超文本传输协议(HyperText Transfer Protocol HTTP) 一种无状态的,已请求/应道方式运行的协议,它使用可扩展的语义和自描述消息格式,与基于网络的草文本信息系统灵活互动. HTTP协议的请求报文和响应报文的结构基本相同,有3部分组成
面向连接的,可靠的,基于字节流的传输层通讯协议 特点 ? 基于连接的:数据传输之前需要建立连接 ? 全双工:双向传输(客户端和服务端传输时双向) ? 字节流:不限制数据大小,打包成报文段,保证有序接受,重复报文自动丢弃(在实际环境中,会出现tcp在传输中并不只会一条线路,可能有多条线路传输数据,本地是有序的发送,传输过程中运营商会分派很多线路,传输的数据被切割成多个片段,由不同的tcp连接传输,可能导致接收端有乱序 重复的数据产生,tcp接收端会重新排序和去重) ? 流量缓冲,:解决双发处理能力的不匹配(发送端能力强接收端能力弱,就需要流量缓冲,将消息放到队列里一点点处理) ? 可靠性传输:保证可达,丢包时通过重试机制实现可靠性(如果网络抖动造成的重试,tcp接收端去重,每次发送完数据会接受到接收端传来的反馈,如果没有则重复发送) ? 拥塞控制:防止防落出现恶行的拥塞 ? TCP的3次握手 ? Tcp的报文
1）源端口：sourceport 源端口和IP地址的作用是标识报文的返回地址。端口是一般是客户端随机生成 2）目的端口：destport端口指明接收方计算机上的应用程序接口。服务端端口比如80 8080 TCP报头中的源端口号和目的端口号同IP数据报中的源IP与目的IP唯一确定一条TCP连接。
(sequence number/acknowledement number)是TCP可靠传输的关键部分。序号是本报文段发送的数据组的第一个字节的序号。在TCP传送的流中，每一个字节一个序号。e.g.一个报文段的序号为300，此报文段数据部分共有100字节，则下一个报文段的序号为400。所以序号确保了TCP传输的有序性。确认号，即ACK，指明下一个期待收到的字节序号，表明该序号之前的所有数据已经正确无误的收到。确认号只有当ACK标志为1时才有效。比如建立连接时，SYN报文的ACK标志位为0。Tcp每一次传输是块的并不是一次全部传送,序号来排序,序号和确认号保证传输的可靠性.
4bits。由于首部可能含有可选项内容，因此TCP报头的长度是不确定的，报头不包含任何任选字段则长度为20字节，4位首部长度字段所能表示的最大值为1111，转化为10进制为15，15*32/8 = 60，故报头最大长度为60字节。首部长度也叫数据偏移，是因为首部长度实际上指示了数据区在报文段中的起始偏移值
1）URG：紧急指针标志，为1时表示紧急指针有效，为0则忽略紧急指针。 2）ACK：确认序号标志，为1时表示确认号有效，为0表示报文中不含确认信息，忽略确认号字段。SYN=1和ACK=1是服务端返回应答报文,三次握手的第二部. 3）PSH：push标志，为1表示是带有push标志的数据，指示接收方在接收到该报文段以后，应尽快将这个报文段交给应用程序，而不是在缓冲区排队。 4）RST：重置连接标志，用于重置由于主机崩溃或其他原因而出现错误的连接。或者用于拒绝非法的报文段和拒绝连接请求。 5）SYN：同步序号，用于建立连接过程，在连接请求中，SYN=1和ACK=0表示该数据段没有使用捎带的确认域，而连接应答捎带一个确认，即SYN=1和ACK=1。当SYN=1和ACK=0就是客户端发送报文用来建立连接. 6）FIN： finish标志，用于释放连接，为1时表示发送方已经没有数据发送了，即关闭本方数据流。四次挥手中用来确认即将断开连接的标识符.
滑动窗口大小，用来告知发送端接受端的缓存大小，以此控制发送端发送数据的速率，从而达到流量控制。窗口大小时一个16bit字段，因而窗口大小最大为65535。
奇偶校验，此校验和是对整个的 TCP 报文段，包括 TCP 头部和 TCP 数据，以 16 位字进行计算所得。由发送端计算和存储，并由接收端进行验证。
只有当 URG 标志置 1 时紧急指针才有效。紧急指针是一个正的偏移量，和顺序号字段中的值相加表示紧急数据最后一个字节的序号。 TCP 的紧急方式是发送端向另一端发送紧急数据的一种方式。
最常见的可选字段是最长报文大小，又称为MSS（Maximum Segment Size），每个连接方通常都在通信的第一个报文段（为建立连接而设置SYN标志为1的那个段）中指明这个选项，它表示本端所能接受的最大报文段的长度。选项长度不一定是32位的整数倍，所以要加填充位，即在这个字段中加入额外的零，以保证TCP头是32的整数倍。
TCP 报文段中的数据部分是可选的。在一个连接建立和一个连接终止时，双方交换的报文段仅有 TCP 首部。如果一方没有数据要发送，也使用没有任何数据的首部来确认收到的数据。在处理超时的许多情况中，也会发送不带任何数据的报文段。

如何控制C#Socket的连接超时时间

Socket.connect连接超时有二种情况：
1.由于网络的问题，TCP/IP三次握手时间>timeout的设置时间。这在国外访问weibo时，并且网络环境极差的情况下有可能发生。
解决的办法：调大socket.connect方法中的timeout参数值，比如50s，linux默认最高是70s，如果超过70s没有意义，linux会采用70s.
但是当调大之后，发现不到10s就报timeout exception。
通过国外的机器ping api.weibo.com发现unreachable。
说明客户端在传输层之下的网络层就发现连个Syn的报文都发不出去，更不用说三次握手了，客户端直接失败并抛timeout exception。
经验：在connection timeout诊断的第一步应该是ping一下确认网络层没有问题。
注：客户端设置了timeout，但并不会等到超时才返回异常。客户端只要第一时间发现连接失败，就会抛timeout exception。
2.如果timeout设置的时间足够，但是由于服务器端的处理能力较差，比如缓冲连接队列较小，而应用层的处理能力没有连接缓冲快，导致缓冲连接占满，而拒绝新的连接。
在服务端因为连接队列占满而拒绝服务的期间，客户端的通过TCP协议重试三次。每次的时间翻倍。
如果三次时间的累加
<timeout参数值且能连接上，属于正常情况，表示队列腾出空位放当前连接。
如果三次时间的累加
<timeout参数值且未能连接上，则客户端会立刻抛出timeout exception,而不等timeout到期才抛。
下面是一个异步socket典型的连接程序

connectDone 是ManualResetEvent类型

可以在connectDone.WaitOne();

中使用等待的时间来限制连接超时

比如connectDone.WaitOne(5000);

是超时时间为5秒

connectDone.WaitOne();

1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

16

17

18

19

public void Conn()

{

try

{

ClientSocket=new Socket(AddressFamily.InterNetwork,SocketType.Stream,ProtocolType.Tcp);

IPAddress ipAddress = IPAddress.Parse(tcpIpServerIP);

IPEndPoint remoteEP = new IPEndPoint(ipAddress, tcpIpServerPort);

connectDone.Reset();

ClientSocket.BeginConnect(remoteEP,new AsyncCallback(ConnectCallback),ClientSocket);

connectDone.WaitOne();

StateObject state = new StateObject(bufferSize,ClientSocket);

ClientSocket.BeginReceive(state.buffer,0,bufferSize,0,

new AsyncCallback(ReceiveCallback), state);

}

catch(Exception e)

{

OnErrorEvent(new ErrorEventArgs(e));

}

}

回答不容易,希望能帮到您,满意请帮忙采纳一下，谢谢 !

</timeout参数值且能连接上，属于正常情况，表示队列腾出空位放当前连接。

DDOS攻击！如何有效屏蔽？

随着Internet互联网络带宽的增加和多种DDOS黑客工具的不断发布，DDOS拒绝服务攻击的实施越来越容易，DDOS攻击事件正在成上升趋势。
近日据业内人士反映，近日上海地区众多网站或机房均遭到了Ddos攻击，其中某站长论坛在10中多次遭到攻击最终导致整个网站瘫痪。另有其他企业网站在遭到攻击的同事牵连到了同服务器或同机柜的其他用户，使得众多“无故群众”也受牵连。随着互联网的高速发展，Web2.0的到来大大的提高了网站与网民间的互动，诞生了和多优秀的门户网站或企业网站。他们的则变成了Ddos攻击重点照顾对象。伴随网络带宽的增加和多种DDOS黑客工具的不断发布，DDOS拒绝服务攻击的实施越来越容易，Ddos攻击事件正在成上升趋势。因此，解决Ddos攻击问题成为网络服务商必须考虑的头等大事。
购买防火墙无疑是大家最为常规的防御措施，但是由于带宽有限的，传统的防火墙当遇到大流量的Ddos攻击的时候就会大大降低其推土量，网络很快就会被堵死，防火墙接入的带宽就耗尽了，最后网络还是会被攻击瘫痪，若另外购买千兆级带宽，用户将会负担高额的防护费用。
上海，作为国内最重要的网络节点之一，Ddos攻击自然也是最为频繁的地区，由于带宽有限，使得Ddos攻击频频得手。众多用户对此头疼以久。针对此情况，中国网域网与上海电信-在线电子商务、金盾防火墙三家巨头合力打造Ddos攻击防护区，此次建立的Ddos攻击防护区域，目前是上海电信最大的Ddos攻击防护区域，其主要由上海电信提供带宽、上海网域提供网络设备、技术支持、实时动态监控，中新软件提供金盾防火墙，共同打造上海Ddos攻击安全区。相对其它同样的DDos防火墙来说，该防护区域拥有网络运营商所提供的充足网络资源，可为防火墙提供足够的千兆以上的带宽，最终有效地彻底的防御大部分已知的Ddos攻击。从成本来考虑该DDos防护区域由网络运营商提供充足的抗攻击带宽，由专业的抗DDos防火墙厂商提供专业的防火墙，由国内知名IDC运营商提供7x24的技术支持。他的成本将是传统抗DDos防御解决方案的1/10。效果则要远远优于传统的DDos防火墙。
该项目的第一期工程2GB DDOS防护区已验收通过。第二期预计将会扩容到5GB防护，第三期将防护数据中心大部分设备防护，防护带宽扩容到10GB。届时，其将会成为上海互联网行业最为有效的抵御Ddos攻击防护区域，坚决阻断一切已知的Ddos攻击，为广大用户提供一个安全、稳定的网络环境。让我们广大站长可以有底气的对Ddos攻击说——“不”。
DDOS攻击主要是通过肉鸡爆破你的网站
主要屏蔽的方法有，关闭你的网站，又或者可以看看限制你网站的流量，这样都可以屏蔽网站被攻击！
安装DDOS防火墙可以有效抵挡！
在路由上做ACL
DDOS的产生
DDOS 最早可追述到1996年最初,在中国2002年开始频繁出现,2003年已经初具规模。近几年由于宽带的普及，很多网站开始盈利，其中很多非法网站利润巨大,造成同行之间互相攻击，还有一部分人利用网络攻击来敲诈钱财。同时windows 平台的漏洞大量的被公布， 流氓软件，病毒，木马大量充斥着网络,有些技术的人可以很容易非法入侵控制大量的个人计算机来发起DDOS攻击从中谋利。攻击已经成为互联网上的一种最直接的竞争方式，而且收入非常高，利益的驱使下，攻击已经演变成非常完善的产业链。通过在大流量网站的网页里注入病毒木马，木马可以通过windows平台的漏洞感染浏览网站的人，一旦中了木马，这台计算机就会被后台操作的人控制，这台计算机也就成了所谓的肉鸡，每天都有人专门收集肉鸡然后以几毛到几块的一只的价格出售，因为利益需要攻击的人就会购买，然后遥控这些肉鸡攻击服务器。
被DDoS攻击时的现象
被攻击主机上有大量等待的TCP连接
网络中充斥着大量的无用的数据包，源地址为假
制造高流量无用数据，造成网络拥塞，使受害主机无法正常和外界通讯
利用受害主机提供的服务或传输协议上的缺陷，反复高速的发出特定的服务请求，使受害主机无法及时处理所有正常请求
严重时会造成系统死机
大级别攻击运行原理
一个比较完善的DDoS攻击体系分成四大部分，先来看一下最重要的第2和第3部分：它们分别用做控制和实际发起攻击。请注意控制机与攻击机的区别，对第4部分的受害者来说，DDoS的实际攻击包是从第3部分攻击傀儡机上发出的，第2部分的控制机只发布命令而不参与实际的攻击。对第2和第3部分计算机，黑客有控制权或者是部分的控制权，并把相应的DDoS程序上传到这些平台上，这些程序与正常的程序一样运行并等待来自黑客的指令，通常它还会利用各种手段隐藏自己不被别人发现。在平时，这些傀儡机器并没有什么异常，只是一旦黑客连接到它们进行控制，并发出指令的时候，攻击傀儡机就成为害人者去发起攻击了。
有的朋友也许会问道："为什么黑客不直接去控制攻击傀儡机，而要从控制傀儡机上转一下呢？"。这就是导致DDoS攻击难以追查的原因之一了。做为攻击者的角度来说，肯定不愿意被捉到，而攻击者使用的傀儡机越多，他实际上提供给受害者的分析依据就越多。在占领一台机器后，高水平的攻击者会首先做两件事：1. 考虑如何留好后门！2. 如何清理日志。这就是擦掉脚印，不让自己做的事被别人查觉到。比较不敬业的黑客会不管三七二十一把日志全都删掉，但这样的话网管员发现日志都没了就会知道有人干了坏事了，顶多无法再从日志发现是谁干的而已。相反，真正的好手会挑有关自己的日志项目删掉，让人看不到异常的情况。这样可以长时间地利用傀儡机。
但是在第3部分攻击傀儡机上清理日志实在是一项庞大的工程，即使在有很好的日志清理工具的帮助下，黑客也是对这个任务很头痛的。这就导致了有些攻击机弄得不是很干净，通过它上面的线索找到了控制它的上一级计算机，这上级的计算机如果是黑客自己的机器，那么他就会被揪出来了。但如果这是控制用的傀儡机的话，黑客自身还是安全的。控制傀儡机的数目相对很少，一般一台就可以控制几十台攻击机，清理一台计算机的日志对黑客来讲就轻松多了，这样从控制机再找到黑客的可能性也大大降低。
DDOS的主要几个攻击
SYN变种攻击
发送伪造源IP的SYN数据包但是数据包不是64字节而是上千字节这种攻击会造成一些防火墙处理错误锁死，消耗服务器CPU内存的同时还会堵塞带宽。
TCP混乱数据包攻击
发送伪造源IP的 TCP数据包，TCP头的TCP Flags 部分是混乱的可能是syn ,ack ,syn+ack ,syn+rst等等，会造成一些防火墙处理错误锁死，消耗服务器CPU内存的同时还会堵塞带宽。
针对用UDP协议的攻击
很多聊天室，视频音频软件，都是通过UDP数据包传输的，攻击者针对分析要攻击的网络软件协议，发送和正常数据一样的数据包，这种攻击非常难防护，一般防护墙通过拦截攻击数据包的特征码防护，但是这样会造成正常的数据包也会被拦截，
针对WEB Server的多连接攻击
通过控制大量肉鸡同时连接访问网站，造成网站无法处理瘫痪，这种攻击和正常访问网站是一样的，只是瞬间访问量增加几十倍甚至上百倍，有些防火墙可以通过限制每个连接过来的IP连接数来防护，但是这样会造成正常用户稍微多打开几次网站也会被封，
针对WEB Server的变种攻击
通过控制大量肉鸡同时连接访问网站，一点连接建立就不断开，一直发送发送一些特殊的GET访问请求造成网站数据库或者某些页面耗费大量的CPU,这样通过限制每个连接过来的IP连接数就失效了，因为每个肉鸡可能只建立一个或者只建立少量的连接。这种攻击非常难防护，后面给大家介绍防火墙的解决方案
针对WEB Server的变种攻击
通过控制大量肉鸡同时连接网站端口，但是不发送GET请求而是乱七八糟的字符，大部分防火墙分析攻击数据包前三个字节是GET字符然后来进行http协议的分析，这种攻击，不发送GET请求就可以绕过防火墙到达服务器，一般服务器都是共享带宽的，带宽不会超过10M 所以大量的肉鸡攻击数据包就会把这台服务器的共享带宽堵塞造成服务器瘫痪，这种攻击也非常难防护，因为如果只简单的拦截客户端发送过来没有GET字符的数据包，会错误的封锁很多正常的数据包造成正常用户无法访问，后面给大家介绍防火墙的解决方案
针对游戏服务器的攻击
因为游戏服务器非常多，这里介绍最早也是影响最大的传奇游戏，传奇游戏分为登陆注册端口7000,人物选择端口7100，以及游戏运行端口7200,7300,7400等,因为游戏自己的协议设计的非常复杂，所以攻击的种类也花样倍出，大概有几十种之多，而且还在不断的发现新的攻击种类，这里介绍目前最普遍的假人攻击，假人攻击是通过肉鸡模拟游戏客户端进行自动注册、登陆、建立人物、进入游戏活动从数据协议层面模拟正常的游戏玩家，很难从游戏数据包来分析出哪些是攻击哪些是正常玩家。
以上介绍的几种最常见的攻击也是比较难防护的攻击。一般基于包过滤的防火墙只能分析每个数据包，或者有限的分析数据连接建立的状态，防护SYN,或者变种的SYN,ACK攻击效果不错,但是不能从根本上来分析tcp，udp协议，和针对应用层的协议,比如http,游戏协议，软件视频音频协议，现在的新的攻击越来越多的都是针对应用层协议漏洞,或者分析协议然后发送和正常数据包一样的数据，或者干脆模拟正常的数据流，单从数据包层面，分析每个数据包里面有什么数据，根本没办法很好的防护新型的攻击。
SYN攻击解析
SYN攻击属于DOS攻击的一种，它利用TCP协议缺陷，通过发送大量的半连接请求，耗费CPU和内存资源。TCP协议建立连接的时候需要双方相互确认信息,来防止连接被伪造和精确控制整个数据传输过程数据完整有效。所以TCP协议采用三次握手建立一个连接。
第一次握手：建立连接时，客户端发送syn包到服务器，并进入SYN_SEND状态，等待服务器确认；
第二次握手：服务器收到syn包，必须确认客户的SYN 同时自己也发送一个SYN包 即SYN+ACK包，此时服务器进入SYN_RECV状态；
第三次握手：客户端收到服务器的SYN＋ACK包，向服务器发送确认包ACK此包发送完毕，客户端和服务器进入ESTABLISHED状态，完成三次握手。
SYN攻击利用TCP协议三次握手的原理，大量发送伪造源IP的SYN包也就是伪造第一次握手数据包，服务器每接收到一个SYN包就会为这个连接信息分配核心内存并放入半连接队列，如果短时间内接收到的SYN太多，半连接队列就会溢出，操作系统会把这个连接信息丢弃造成不能连接，当攻击的SYN包超过半连接队列的最大值时，正常的客户发送SYN数据包请求连接就会被服务器丢弃, 每种操作系统半连接队列大小不一样所以抵御SYN攻击的能力也不一样。那么能不能把半连接队列增加到足够大来保证不会溢出呢，答案是不能，每种操作系统都有方法来调整TCP模块的半连接队列最大数，例如Win2000操作系统在注册表 HKLM\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters里 TcpMaxHalfOpen，TcpMaxHalfOpenRetried ，Linux操作系统用变量tcp_max_syn_backlog来定义半连接队列的最大数。但是每建立一个半连接资源就会耗费系统的核心内存，操作系统的核心内存是专门提供给系统内核使用的内存不能进行虚拟内存转换是非常紧缺的资源windows2000 系统当物理内存是4g的时候 核心内存只有不到300M，系统所有核心模块都要使用核心内存所以能给半连接队列用的核心内存非常少。Windows 2003 默认安装情况下，WEB SERVER的80端口每秒钟接收5000个SYN数据包一分钟后网站就打不开了。标准SYN数据包64字节 5000个等于 5000*64 *8(换算成bit)/1024=2500K也就是 2.5M带宽 ，如此小的带宽就可以让服务器的端口瘫痪，由于攻击包的源IP是伪造的很难追查到攻击源,，所以这种攻击非常多。
如何防止和减少DDOS攻击的危害
拒绝服务攻击的发展
从拒绝服务攻击诞生到现在已经有了很多的发展，从最初的简单Dos到现在的DdoS。那么什么是Dos和DdoS呢？DoS是一种利用单台计算机的攻击方式。而DdoS（Distributed Denial of Service，分布式拒绝服务）是一种基于DoS的特殊形式的拒绝服务攻击，是一种分布、协作的大规模攻击方式，主要瞄准比较大的站点，比如一些商业公司、搜索引擎和政府部门的站点。DdoS攻击是利用一批受控制的机器向一台机器发起攻击，这样来势迅猛的攻击令人难以防备，因此具有较大的破坏性。如果说以前网络管理员对抗Dos可以采取过滤IP地址方法的话，那么面对当前DdoS众多伪造出来的地址则显得没有办法。所以说防范DdoS攻击变得更加困难，如何采取措施有效的应对呢？下面我们从两个方面进行介绍。
预防为主保证安全
DdoS攻击是黑客最常用的攻击手段，下面列出了对付它的一些常规方法。
（1）定期扫描
要定期扫描现有的网络主节点，清查可能存在的安全漏洞，对新出现的漏洞及时进行清理。骨干节点的计算机因为具有较高的带宽，是黑客利用的最佳位置，因此对这些主机本身加强主机安全是非常重要的。而且连接到网络主节点的都是服务器级别的计算机，所以定期扫描漏洞就变得更加重要了。
（2）在骨干节点配置防火墙
防火墙本身能抵御DdoS攻击和其他一些攻击。在发现受到攻击的时候，可以将攻击导向一些牺牲主机，这样可以保护真正的主机不被攻击。当然导向的这些牺牲主机可以选择不重要的，或者是linux以及unix等漏洞少和天生防范攻击优秀的系统。
（3）用足够的机器承受黑客攻击
这是一种较为理想的应对策略。如果用户拥有足够的容量和足够的资源给黑客攻击，在它不断访问用户、夺取用户资源之时，自己的能量也在逐渐耗失，或许未等用户被攻死，黑客已无力支招儿了。不过此方法需要投入的资金比较多，平时大多数设备处于空闲状态，和目前中小企业网络实际运行情况不相符。
（4）充分利用网络设备保护网络资源
所谓网络设备是指路由器、防火墙等负载均衡设备，它们可将网络有效地保护起来。当网络被攻击时最先死掉的是路由器，但其他机器没有死。死掉的路由器经重启后会恢复正常，而且启动起来还很快，没有什么损失。若其他服务器死掉，其中的数据会丢失，而且重启服务器又是一个漫长的过程。特别是一个公司使用了负载均衡设备，这样当一台路由器被攻击死机时，另一台将马上工作。从而最大程度的削减了DdoS的攻击。
（5）过滤不必要的服务和端口
过滤不必要的服务和端口，即在路由器上过滤假IP……只开放服务端口成为目前很多服务器的流行做法，例如WWW服务器那么只开放80而将其他所有端口关闭或在防火墙上做阻止策略。
（6）检查访问者的来源
使用Unicast Reverse Path Forwarding等通过反向路由器查询的方法检查访问者的IP地址是否是真，如果是假的，它将予以屏蔽。许多黑客攻击常采用假IP地址方式迷惑用户，很难查出它来自何处。因此，利用Unicast Reverse Path Forwarding可减少假IP地址的出现，有助于提高网络安全性。
（7）过滤所有RFC1918 IP地址
RFC1918 IP地址是内部网的IP地址，像10.0.0.0、192.168.0.0 和172.16.0.0，它们不是某个网段的固定的IP地址，而是Internet内部保留的区域性IP地址，应该把它们过滤掉。此方法并不是过滤内部员工的访问，而是将攻击时伪造的大量虚假内部IP过滤，这样也可以减轻DdoS的攻击。
（8）限制SYN/ICMP流量
用户应在路由器上配置SYN/ICMP的最大流量来限制SYN/ICMP封包所能占有的最高频宽，这样，当出现大量的超过所限定的SYN/ICMP流量时，说明不是正常的网络访问，而是有黑客入侵。早期通过限制SYN/ICMP流量是最好的防范DOS的方法，虽然目前该方法对于DdoS效果不太明显了，不过仍然能够起到一定的作用。
寻找机会应对攻击
如果用户正在遭受攻击，他所能做的抵御工作将是非常有限的。因为在原本没有准备好的情况下有大流量的灾难性攻击冲向用户，很可能在用户还没回过神之际，网络已经瘫痪。但是，用户还是可以抓住机会寻求一线希望的。
（1）检查攻击来源，通常黑客会通过很多假IP地址发起攻击，此时，用户若能够分辨出哪些是真IP哪些是假IP地址，然后了解这些IP来自哪些网段，再找网网管理员将这些机器关闭，从而在第一时间消除攻击。如果发现这些IP地址是来自外面的而不是公司内部的IP的话，可以采取临时过滤的方法，将这些IP地址在服务器或路由器上过滤掉。
（2）找出攻击者所经过的路由，把攻击屏蔽掉。若黑客从某些端口发动攻击，用户可把这些端口屏蔽掉，以阻止入侵。不过此方法对于公司网络出口只有一个，而又遭受到来自外部的DdoS攻击时不太奏效，毕竟将出口端口封闭后所有计算机都无法访问internet了。
（3）最后还有一种比较折中的方法是在路由器上滤掉ICMP。虽然在攻击时他无法完全消除入侵，但是过滤掉ICMP后可以有效的防止攻击规模的升级，也可以在一定程度上降低攻击的级别。
不知道身为网络管理员的你是否遇到过服务器因为拒绝服务攻击（DDOS攻击）都瘫痪的情况呢？就网络安全而言目前最让人担心和害怕的入侵攻击就要算是DDOS攻击了。他和传统的攻击不同，采取的是仿真多个客户端来连接服务器，造成服务器无法完成如此多的客户端连接，从而无法提供服务。
目前网络安全界对于DdoS的防范有效的防御办法:
可以采用因尔特网络数据中心推出的TNT防御防攻击系统:本系统对于攻击采用智能识别实时进行攻击流量的转移，让攻击者的流量作用在服务器上的流量控制在最小的程度从而到达防御防攻击的目的，无论是G口发包还是肉鸡攻击,使用我们TNT防御防攻击系统在保障您个人服务器或者数据安全的状态下,只影响瞬间某个地区某部分用户的使用，保证其他用户的正常使用。并且系统会在较短时间内恢复已经瘫痪的用户访问.还可以让G口发包的服务器或者肉鸡发出的数据包全部浪费与耗尽完.试想如果攻击的流量在白白浪费和消耗掉，黑客也不能真实把流量作用在你的网站或服务器上，那黑客用什么来攻击您的网站呢？
如果按照系统的方法和思路去防范DdoS的话，收到的效果还是非常明显的，可以将攻击带来的损失降低到最小。
你了解下,希望对你有帮助.

tcpip协议中的ip相当于osi中的什么层

TCP位于传输层专门提供端对端的接口。 　　TCP/IP由四个层次组成:网络接口层、网络层、传输层、应用层。 　　
TCP/IP协议并不完全符合OSI的七层参考模型，OSI(Open System Interconnect)是传统的开放式系统互连参考模型，是一种通信协议的7层抽象的参考模型，其中每一层执行某一特定任务。该模型的目的是使各种硬件在相同的层次上相互通信。这7层是:物理层、数据链路层(网络接口层)、网络层(网络层)、传输层、会话层、表示层和应用层(应用层)。而TCP/IP通讯协议采用了4层的层级结构，每一层都呼叫它的下一层所提供的网络来完成自己的需求。由于ARPNET的设计者注重的是网络互联，允许通信子网(网络接口层)采用已有的或是将来有的各种协议，所以这个层次中没有提供专门的协议。实际上，TCP/IP协议可以通过网络接口层连接到任何网络上。
tcpip协议中的ip相当于osi中的网络层。
OSI参考模型全称是开放系统互连参考模型。这一参考模型共分为七层：物理层、数据链路层、网络层、传输层、会话层、表示层和应用层。IP是网络层的核心，通过路由选择将下一条IP封装后交给接口层。IP数据报是无连接服务。
网络层（Network Layer）确定分组从源端到目的端的路由选择。路由可以选用网络中固定的静态路由表，也可以在每一次会话时决定，还可以根据当前的网络负载状况，灵活地为每一个分组分别决定。
网络层负责相邻计算机之间的通信。其功能包括三方面。
1、处理来自传输层的分组发送请求，收到请求后，将分组装入IP数据报，填充报头，选择去往信宿机的路径，然后将数据报发往适当的网络接口。
2、处理输入数据报：首先检查其合法性，然后进行寻径，假如该数据报已到达信宿机，则去掉报头，将剩下部分交给适当的传输协议。假如该数据报尚未到达信宿，则转发该数据报。
3、处理路径、流控、拥塞等问题。
扩展资料：
TCP/IP协议中的TCP相当于osi中的传输层：
传输层提供应用程序间的通信。其功能包括：1、格式化信息流；2、提供可靠传输。为实现后者，传输层协议规定接收端必须发回确认，并且假如分组丢失，必须重新发送，即耳熟能详的“三次握手”过程，从而提供可靠的数据传输。
传输层协议主要是：传输控制协议TCP（Transmission Control Protocol）和用户数据报协议UDP（User Datagram protocol）。
参考资料来源：百度百科-TCP/IP协议