TCP intercept

R1与R2建立 TCP连接的过程：

1、 R1发送一个序列号100至R2（SYN ）

2、 R2回复101，并发送自己的一个序列号200(SYN ACK)

3、 R1回复R2一个201序列号(ACK)

至此R1与R2双方的TCP连接建立完全。

R1给R2发送数据，R2回应R1的数据并发送自己的序列号，如果这时R1不给R2回应，则R2会启动一个等待计时器来等待这个回应，直到超时为止。这样的连接称为半连接。

如果R2是一台服务器，这样的半连接过多，会占用掉服务器的资源，从而导致服务器瘫痪不能正常工作，为了避免这种情况在服务器上可以进行设置，同样在中间路由器上也可以设置。

路由器上可以监测TCP连接的状态，如果长时间TCP连接都没有建立成功，则认为这是一个攻击，并告诉服务器端重置这个会话；还可以在路由器上设置半连接的最大数量。

路由器为服务器提供TCP保护的两种模式：

1、 watch模式

客户端的TCP连接请求会被正确发送到服务器，路由器会跟踪监测这条会话，如果长时间TCP连接都没有建立成功，路由器会向服务器端发送重置会话的请求。

2、 intercept模式

客户端的TCP连接请求会被停置在路由器上，只有当三次握手建立后，才会将该会话发送给服务器，让服务器与客户端正常连接，否则路由器将清除该会话。

在配置TCP intercept时，需要通过ACL来告诉路由器需要监测哪些TCP会话

配置TCP intercept

1、建立ACL告诉路由器需要监测哪些TCP会话，并将ACL与tcp intercept关联起来

Access-list 100 permit tcp any any

Ip tcp intercept list 100

2、配置TCP intercept的模式

Ip tcp intercept mode watch

Ip tcp intercept mode intercept

3、配置半连接最长等待时间，也就是watch模式的最长等待时间

Ip tcp intercept watch-timeout 60 时间以秒为单位

在这里还可以配置一个连接超时时间，即TCP连接建立完后多长时间没有传送数据就断开该连接。默认路由器会监测这个会话24小时，这个时间可以修改，比如修改为1个小时

Ip tcp intercept connection-timeout 3600\

4、定义路由器中记录的半连接数的阈值，默认分别为900和1100

Ip tcp intercept max-incomplete low 800

Ip tcp intercept max-incomplete high 1000

还可以定义每分钟最大/小的半连接数

Ip tcp intercept one-minute low 800

Ip tcp intercept one-minute high 1000

5、配置丢弃模式，即半连接数达到最大阈值时，如何丢弃连接；默认是丢弃时间最长的会话

Ip tcp intercept drop-mode old/random