推奨構成は次のとおりです。

管理端末
   │
   ▼
WireGuard・ZTNA・VPN
   │
   ▼
管理用ネットワーク
   │
   ├─ SSH
   ├─ DB
   └─ 管理画面

公開サービスを減らすほど、SYNフラッドを受ける入口も減ります。

対処3：SYN Proxyを前段へ配置する

nftables、ファイアウォール、ロードバランサー、クラウドDDoS対策などでSYN Proxyを利用します。

ただし、導入時には次を検証してください。

• TCPオプションの扱い

• MSS

• ウィンドウスケーリング

• タイムスタンプ

• IPv6対応

• 非対称ルーティング

• ロードバランサーとの競合

• クライアントIP保持

• TLS終端位置

• 正常時の遅延

本番へ直接適用せず、ステージング環境で負荷試験を行います。

対処4：OS設定は実測値に基づいて調整する

設定例をそのままコピーしてはいけません。

調整候補には次があります。

net.ipv4.tcp_syncookies
net.ipv4.tcp_max_syn_backlog
net.ipv4.tcp_synack_retries
net.core.somaxconn

ただし、それぞれ別の目的を持ちます。