TCP/IP 协定，作为网络通信的标准协议，是一组不同档次上的多个协定的组合。因为在其设计初期过分强调其开放性和便利性，却没有认真仔细思考到它的安全性问题，因而协定中存在有诸多的安全漏洞。协定缺点造成的安全漏洞，很多时候会被黑客间接用来攻打受害者主机零碎。明天，咱们来讲讲 TCP/IP 协定本身所存在的平安问题。尽管 TCP/IP 协定是由多个协定组合而成的，但本文只重点指出 TCP 协定和 IP 协定的平安问题。
一、TCP 协定的平安问题
TCP 应用“三次握手”机制来建设一条连贯，握手的第一个报文为 SYN 包；第二个报文为 SYN/ACK 包，表明它应答第一个 SYN 包，同时持续握手的过程；第三个报文仅仅是一个应答，示意为 ACK 包。若 A 方为连贯方，B 为响应方，其间可能的威逼有：
1、攻击者监听 B 方收回的 SYN/ACK 报文。
2、攻击者向 B 方发送 RST 包，接着发送 SYN 包，混充 A 方发动新的连贯。
3、B 方响应新连贯，并发送连贯响应报文 SYN/ACK。
4、攻击者再混充 A 方对 B 方发送 ACK 包。
这样攻击者便达到了毁坏连贯的作用，若攻击者再趁机插入无害数据包，则结果更重大。
TCP 协定把通过连贯而传输的数据看成是字节流，用一个 32 位整数对传送的字节编号。初始序列号 (ISN) 在 TCP 握手时产生，产生机制与协定 实现无关。攻击者只有向指标主机发送一个连贯申请，即可取得上次连贯的 ISN，再通过屡次测量来回传输门路，失去防御主机到指标主机之间数据包传送的来回 工夫 RTT。已知上次连贯的 ISN 和 RTT，很容易就能预测下一次连贯的 ISN。若攻击者混充信赖主机向指标主机收回 TCP 连贯，并预测到指标主机的 TCP 序列号，攻击者就能伪造无害数据包，使之被指标主机承受。
二、IP 协定的平安问题
IP 协定在互连网络之间提供无连贯的数据包传输。IP 协定依据 IP 头中的目标地址项来发送 IP 数据包。也就是说，IP 协定在路由 IP 包时，对 IP 头中提供的 IP 源地址不作任何查看，并且认为 IP 头中提供的 IP 源地址，即为发送该包机器的实在 IP 地址。这样，许多依附“IP 源地址”做确认的服务，将会产生问题并且会被非法入侵，其中最典型的就是利用“IP 坑骗”引起的各种攻打。
以防火墙为例，一些网络的防火墙只容许网络信赖的 IP 数据包通过，然而因为不查看 IP 数据包中的 IP 源地址，是否为发送该包的源主机的实在 IP 地址，因而攻击者能够采纳“IP 源地址坑骗”的办法，来绕过这种防火墙。
另外有一些以 IP 地址作为“平安权限调配根据”的网络应用，攻击者很容易应用“IP 源地址坑骗”的办法取得特权，从而给被攻击者造成重大的损失。事实上，每一个攻击者都能够利用 IP 协定不测验 IP 头中提供的 IP 源地址的特点，填入伪造的 IP 地址来进行攻打，暗藏本人实在的 IP 地址，从而使本人难以被发现。
三、TCP 协定平安问题的防范措施
对于 SYN Flood 攻打，能够从以下几个方面加以防备：
1、对系统设定相应的内核参数，使得零碎强制对超时的 SYN 申请连贯数据包的复位，同时通过缩短超时常数和加长等待队列使得零碎能迅速解决有效的 SYN 申请数据包。
2、倡议在该网段的路由器上做些配置的调整，这些调整包含限度 SYN 半开数据包的流量和个数。
3、倡议在路由器的前端多必要的 TCP 拦挡，使得只有实现 TCP 三次握手过程的数据包才能够进入该网段，这样能够无效的爱护本网段内的服务器不受此类攻打。
四、IP 协定平安问题的防范措施
1、摈弃基于地址的信赖策略。这是最简略的办法。
2、进行包过滤。如果网络是通过路由器接入 Internet（因特网）的，那么能够利用路由器来进行包过滤。确认只有外部 LAN（局域网）能够应用信赖关系，而外部 LAN（局域网）上的主机对于 LAN（局域网）以外的主机要慎重处理。路由器能够过滤掉所有来自于内部而心愿与外部建设连贯的申请。
3、应用加密技术。阻止 IP 坑骗的一种简略的办法是，在通信时要求加密传输和验证。当有多种手段并存时，加密办法可能最为实用。
除此之外，也能够思考接入高防 IP，德迅 DDoS 高防 IP 防护服务是以省骨干网的 DDoS 防护网络为根底，联合德迅自研的 DDoS 攻打检测和智能防护体系，向您提供可治理的 DDoS 防护服务，主动疾速的缓解网络攻击对业务造成的提早减少，拜访受限，业务中断等影响，从而缩小业务损失，升高潜在 DDoS 攻打危险。次要的特色在于：
1. 自定义荡涤策略：反对从后果、交互，工夫，地区等维度对流量进行画像，从而构建数千种可自定义拦挡策略，同时进攻不同业务、不同类型的 CC 攻打。
2. 指纹识别拦挡：指纹识别能够依据报文的特定内容生成独有的指纹，并以此为根据进行流量的合法性判断，达到精准拦挡的歹意流量的目标。
3. 四层 CC 防护：德迅引擎能够依据用户的连贯、频率、行为等特色，实时剖析申请，智能辨认攻打，实现秒级拦挡，保障业务的稳固运行。
4. 反对多协定转发：反对 TCP、HTTP、HTTPS、WebSocket 等协定，并可能很好地维持业务中的长连贯。适配多种业务场景，并暗藏服务器实在 IP。
5. 丰盛的攻打详情报表：秒级的即时报表，实时展现业务的拜访状况、流量转发状况和攻打进攻状况，监控业务的整体平安情况，并动静调整进攻策略，达到最佳的防护成果。
6. 源站爱护：通过反向代理接入防护服务，暗藏实在源站服务器地址，将荡涤后的洁净业务流量回送到源机
总的来说，TCP/IP 协定尽管存在一些安全隐患，但通过施行一系列的安全措施，咱们能够大大降低这些威逼。重要的是要保持警惕，继续关注新的平安威逼，并采取必要的措施来爱护咱们的网络。