• Anycast

• CDN

• スクラビングセンター

• SYN Proxy

• SmartNIC

• DPU

• ASIC

• eBPF/XDP

• AF_XDP

• ハードウェアACL

• 上流フロー制御

LinuxのAF_XDPは、高性能なパケット処理向けに最適化されたアドレスファミリーです。XDPプログラムからパケットをユーザー空間のUMEMへリダイレクトでき、対応ドライバーではゼロコピー動作も利用できます。

ただし、XDPを導入すれば自動的に大規模DDoSを防げるわけではありません。

VPSの回線が1Gbpsで、上流から10Gbpsの攻撃が来た場合、サーバー内でXDPにより破棄する前に回線が埋まります。

攻撃量 10Gbps
      │
      ▼
契約回線 1Gbps  ← ここで既に詰まる
      │
      ▼
XDP

この場合は、上流ネットワーク、CDN、クラウド、DDoS対策事業者での遮断が必要です。

防御技術の進化

1. SYN backlogを増やす

tcp_max_syn_backlogを増やすことで、より多くの未完了接続を管理できます。

ただし、これは防御の本質ではありません。

バケツを大きくしても、流入量が増え続ければ最後にはあふれます。

RFC 4987も、単純なbacklog拡大やタイマー短縮には問題があり、SYN cacheやSYN Cookieの方が有効な方式として扱われています。

2. SYN-ACK再送回数を減らす