CentOS 中 backlog 与安全的关系
核心结论
在 CentOS 中，网络或审计的 backlog 并非安全机制，它只是连接/事件的队列长度。设置过大或过小都会带来可用性风险，尤其是可能被利用形成 DoS/DDoS 或导致服务不稳定；因此应与防火墙、访问控制、审计等安全控制配合使用，而非单独依赖 backlog 来“保障安全”。
网络 backlog 的安全影响与建议
- 概念与位置：网络 backlog 通常指 TCP 全连接队列/半连接队列 的长度，由内核与应用共同决定（如 somaxconn、tcp_max_syn_backlog 与应用自身 listen(backlog)）。
- 主要风险：
- 队列被海量连接占满后，合法用户出现连接超时/拒绝，形成 DoS/DDoS 的可乘之机。
- backlog 过大可能提升资源占用与调度压力，过小则更容易被快速填满。
- 配置要点：
- 结合业务并发与处理能力进行合理设置，避免“过大/过小”。
- 配合 firewalld/iptables 做速率限制、黑白名单与端口最小化暴露。
- 启用 监控与日志，对异常连接尝试进行告警与追踪。
审计 backlog 的安全影响与建议
- 概念与位置：审计 backlog 指内核 audit 子系统的事件缓冲队列，由 auditd 消费；当事件产生速度超过消费速度，会出现 “audit: backlog limit exceeded”。
- 主要风险：
- 队列溢出可能导致 系统无响应/SSH 无法登录 等严重可用性事件，间接扩大攻击窗口。
- 配置要点：
- 适度调大 backlog_limit，并评估内存开销（每个缓冲约 8970 字节；例如 320 个缓冲约 2.7 MiB，10000 个约 87 MiB）。
- 优化审计规则，减少不必要事件；必要时分拆规则、异步处理与持久化落盘，保障关键审计不丢。
- 切勿为“止血”而长期关闭审计，否则将削弱事后取证与合规能力。
快速检查与处置清单
- 网络侧：
- 查看与调整内核参数：如 net.core.somaxconn、net.ipv4.tcp_max_syn_backlog；同时校准应用 listen(backlog)。
- 在 firewalld/iptables 上启用连接速率限制与端口白名单，减少无效/恶意连接压栈。
- 审计侧：
- 检查状态：执行 auditctl -s；必要时临时提高 auditctl -b 。
- 持久化：在 /etc/audit/audit.rules 中使用 -b 设置；变更后重启 auditd。
- 规划容量：按“缓冲大小 × 缓冲数量”估算内存占用，避免无节制放大。
