TCP拦截和网络地址转换 本书将讨论与访问表相关的技术，而非访问表本身。这些技术提供了控制网络中数据流 量的附加功能。这些功能特性会使读者能够加强进出网络报文的附加功能。通过智能地对数 据本身进行操作，例如，可以操纵 I P报文中的源和目的地址，或者给某种通信报文分配较多 的带宽，读者就能够进一步加强进出网络的报文的安全性和控制能力。本章将讨论两种特性： T C P拦截和网络地址转换（Network Address Tr a n s l a t i o n，N AT），它们可以大大加强对网络中
SYN flood是属于DOS攻击的一种典型方式，其发生方式就出现在TCP连接的三次握手中，假设一个用户向服务器发送了SYN报文后突然死机或掉线，那么服务器在发出SYN+ACK应答报文后是无法收到客户端的ACK报文的（第三次握手无法完成），这种情况下服务器端一般会重试（再次发送SYN+ACK给客户端）并等待一段时间后丢弃这个未完成的连接，这段时间的长度我们称为SYN Timeout，一般来说这个时间是分钟的数量级（大约为30秒 -2分钟）；一个用户出现异常导致服务器的一个线程等待1分钟并不是什
传输控制协议(TCP,transmission control protocol)连接建立的“三次握手”过程中涉及对半连接表和连接表的管理。但是，已得到广泛应用的网络模拟器NS2对TCP连接建立过程只有一个形式的表示,没有完整的具体实现。对此进行了改进,为NS2增加了半连接表结构,并将Linux内核管理半连接表的方式移植到了NS2中。仿真结果可清晰地看到TCP连接建立过程中半连接表变化,从而满足TCP SYN洪泛攻击防控等研究中对TCP连接建立过程模拟的需要。
