TCP报文标志位组合异常主机就遭殃？华为防火墙单包防范先拦脏包

本文整理自华为官方发布的配置指导，命令与步骤均按原始文档呈现，供现场实施参考。

标志位组合不成立的TCP报文属于典型单包攻击，一个包就能让主机干很久的活；华为防火墙开启TCP报文标志位攻击防范，命中五种非法组合即丢弃并记录日志，畸形包在边界就被拦下。

什么样的报文算脏包？

边界防火墙把该放的流量都放行了，内网服务器却时不时卡顿重启，抓包一看，是一批标志位组合根本不成立的TCP报文在反复消耗主机的处理能力。TCP报文头里有URG、ACK、PSH、RST、SYN、FIN六个标志位，正常连接里它们的组合是有规律的；攻击者故意拼出规则之外的组合，受害主机收到后要逐一判断识别，性能被白白消耗，个别系统的报文处理还会异常，严重时主机直接崩溃。

这类报文单看体积不大，却属于典型的单包攻击：不需要大流量，一个包就能让对端干很久的活。

五种非法组合是哪几种？

华为防火墙的TCP报文标志位攻击防范功能专门对付这类报文，开启后设备逐包检查六个标志位，命中下面任何一种组合就直接丢弃并记录攻击日志：六个标志位全为1；六个标志位全为0；SYN和FIN同时为1；SYN和RST同时为1；FIN为1而ACK为0。这五种组合在正常协议栈里都不会出现，拦掉不会误伤业务。

防火墙上怎么开？

配置只有两步。先进入系统视图：

system-view

开启TCP报文标志位攻击防范功能：

firewall defend tcp-flag enable

依据：华为官方典型配置案例（2026-11 版）。

开了之后日志怎么看？

上线后建议先观察几天攻击日志，看看脏报文主要来自哪个方向。如果是外网进来的，说明边界上有人在探你；如果来自内网，更要当心——很可能是内网有主机已被控制，正在向外发构造报文，顺着日志把源头找出来处理掉。

还有一种容易被忽略的情况：有些老旧应用自己实现的协议栈不规矩，发出的报文碰巧踩中非法组合，开了防范后会被误拦。遇到"开了功能后某个老应用连不上"，先查攻击日志确认是不是它，再决定给这台主机单独开例外还是推动应用改造，别一上来就关功能。

它和流量型防范是什么关系？

层次关系要说清：标志位检查管的是"单个包长得对不对"，流量型攻击防范管的是"同类包来得多不多"，两道防线各司其职。边界设备把畸形报文挡在门外，内网主机就不用再为这些无效判断烧资源，卡顿崩溃这类悬案也就少了一大半。

如果贵司正在梳理边界防护基线，贵州诚鑫致达科技可以结合设备型号把这类单包防范逐项配齐，欢迎搜索关注，获取更多边界防护的实操内容。