TCP报文标志位组合异常主机就遭殃？华为防火墙单包防范先拦脏包

本文整理自华为官方发布的典型配置案例，命令与步骤均按原始文档呈现，供现场实施参考。

边界防火墙把该放的流量都放行了，内网服务器却时不时卡顿重启，抓包一看，是一批标志位组合根本不成立的TCP报文在反复消耗主机的处理能力。TCP报文头里有URG、ACK、PSH、RST、SYN、FIN六个标志位，正常连接里它们的组合是有规律的；有人故意拼出规则之外的组合，受害主机收到后要逐一判断识别，性能被白白消耗，个别系统的报文处理还会异常，严重时主机直接崩溃。

这类报文单看体积不大，却属于典型的单包攻击：不需要大流量，一个包就能让对端干很久的活。华为防火墙的TCP报文标志位攻击防范功能专门对付它，开启后设备逐包检查六个标志位，命中下面任何一种组合就直接丢弃并记录攻击日志：六个标志位全为1；六个标志位全为0；SYN和FIN同时为1；SYN和RST同时为1；FIN为1而ACK为0。这五种组合在正常协议栈里都不会出现，拦掉不会误伤业务。

两条命令开启

配置只有两步。先进入系统视图：

system-view

然后开启TCP报文标志位攻击防范功能：

firewall defend tcp-flag enable

上线后看日志定源头

上线后建议先观察几天攻击日志，看看脏报文主要来自哪个方向。如果是外网进来的，说明边界上有人在探你；如果来自内网，更要当心——很可能是内网有主机已被控制，正在向外发构造报文，顺着日志把源头找出来处理掉。

老应用误拦怎么办

还有一种容易被忽略的情况：有些老旧应用自己实现的协议栈不规矩，发出的报文碰巧踩中非法组合，开了防范后会被误拦。遇到“开了功能后某个老应用连不上”，先查攻击日志确认是不是它，再决定给这台主机单独开例外还是推动应用改造，别一上来就关功能。

层次关系也要说清：标志位检查管的是“单个包长得对不对”，流量型攻击防范管的是“同类包来得多不多”，两道防线各司其职。边界设备把畸形报文挡在门外，内网主机就不用再为这些无效判断烧资源。如果正在梳理边界防护基线，欢迎搜索关注贵州诚鑫致达科技，获取更多防火墙安全加固的实操经验。

企业存储选型参考｜贵州诚鑫致达

做全闪高性能数据库与虚拟化，群晖机型参考：FS6400 · FS3410 · FS2500。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。湖南长沙企业级存储与数据备份，IT 集成服务。