2025/1/21更新

TCP/IP網路協定與後端工程的核心價值

網路傳輸在後端工程領域佔有核心地位。TCP/IP網路協定是前後端交流的關鍵組件。我們所用的各種協定，最後都會封裝為TCP段或UDP資料包。這些資料包再被置入IP資料包和網路幀中進行傳輸。對於後端工程師，熟悉並掌握這些協定不僅有助優化系統、更能減少延遲和提升傳輸效率。而真正的理解，勝過僅知其定義或為考試背誦。例如，當後端API收到HTTP POST請求時，如果工程師能深入了解其運作，他們對於背後的流程將會有更多洞察。這將影響他們的API設計思路，選擇更合適的協定，並充分發揮其效能。這樣的深入理解也會驅使他們提出有別於一般的關於框架和程式庫的問題，進而更好地利用這些工具。

網路傳輸與後端工程的關聯性

為什麼後端工程師需要深入了解TCP/IP協定？

了解TCP/UDP能更有效地防範緩解潛在的DDoS攻擊。透過即時監控網路流量，發覺正常與異常的請求差異，有助於更快採取行動保護系統免受這些惡意流量的攻擊影響。

從API設計到效能提升的實際應用

當後端API收到HTTP POST請求時，如果工程師能深入了解其運作，他們對於背後的流程將會有更多洞察。這將影響他們的API設計思路，選擇更合適的協定，並充分發揮其效能。

TCP/UDP的基本認識

TCP/UDP的運作方式及主要區別

TCP(Transmission Control Protocol)和UDP(User Datagram Protocol)都是屬於網路通訊的核心協定，位於OSI模型的傳輸層，也是該模型的第四層。在這一層，TCP/UDP負責執行端點對端點的資料發送，兩者的工作相同，但運作方式不同。
TCP在正式傳遞資料前會使用3次握手(Three-way handshake)協議，確保資料完整無誤地傳送，防止錯誤的連結。因此大多數的網路協定都是建立在TCP上，因為比較「可靠」。
UDP不需要建立連結就可以直接發送資料，因此適用在不需要在程式中執行錯誤檢查和糾正的應用，例如串流媒體、即時多人遊戲和VoIP(Voice over Internet Protocol 網路電話)。

TCP/UDP在不同應用場景中的選擇

透過深入了解TCP/UDP的特性和運作機制，專業人士可以針對不同的應用場景開發出更為合適和高效的解決方案。

深入理解TCP/UDP的價值

優化網路架構的效能提升

對網路工程師來說，便能優化網路架構，選擇合適的傳輸協定能確保數據傳輸的順暢和穩定，降低網路延遲和丟包率。甚至根據不同協定的特性設計和實現網路的安全策略，例如VPN協定等。

網路協定在系統管理中的應用

對系統管理員來說，則是根據不同應用服務的需求配置合適的協定，例如FTP、SMTP等通常使用TCP，而DNS查詢則可能使用UDP。

開發人員如何利用TCP/UDP提升應用效率

對程式開發人員來說，選擇合適的通信協定開發網路應用，例如視頻串流服務可能會優先考慮UDP以降低延遲，而銀行交易系統則會選擇TCP來確保數據的可靠傳輸。

TCP/UDP在網路安全中的關鍵角色

為什麼深入了解TCP/UDP對工程師如此重要?

後端工程師對TCP和UDP的深入理解，不僅有助於優化系統效能與減少網路延遲，還能在當今日益猖獗的網絡攻擊中發揮更大的防禦作用。

• 辨識異常流量模式：

深入了解TCP/UDP協議能幫助工程師快速察覺異常流量，對早期預警與應對網路威脅是不可或缺的。

• 有效防禦DDoS攻擊：

針對OSI模型的傳輸層攻擊，熟悉這些協議的工作原理是網路安全防禦的基礎。

OSI第四層的重要性與DDoS攻擊分析

OSI第四層：什麼是傳輸層?

傳輸層（第四層）負責端點之間的數據通訊，TCP/UDP協議皆運行於此層。此層在網路通信中起著承上啟下的作用，對應用層提供可靠的數據傳遞基礎。

第四層DDoS攻擊的五大主要目的

1.利用協議漏洞

TCP協議具有較高的複雜性，容易成為攻擊者利用的對象。例如：

• SYN Flood攻擊：

攻擊者利用TCP的三次握手機制，發送大量虛假SYN請求，讓伺服器資源被消耗殆盡。

2.資源耗盡

攻擊者藉由發送大量偽造的TCP或UDP請求，快速耗盡目標伺服器的計算資源或網絡頻寬，導致合法用戶無法訪問服務。

3.繞過常規防護

許多安全系統對第七層（應用層）的HTTP流量有較強的保護措施，但對第四層的攻擊可能防禦較弱，使攻擊得以成功。

4.放大攻擊效果

• UDP反射攻擊：

攻擊者利用開放的伺服器（如DNS伺服器）來反射和放大攻擊流量。

• NTP放大攻擊：

利用網路時間協議（NTP）的漏洞，發動大規模的流量攻擊。

5.簡單性與普及性

第四層攻擊執行相對簡單，且攻擊工具易於獲得，讓即便是不熟練的攻擊者也能發起大規模攻擊。

深入解析：DDoS攻擊中常見的TCP攻擊手法

TCP協議因其可靠連接特性與三次握手機制，成為DDoS攻擊的主要目標之一。了解這些攻擊類型有助於企業更有效地部署防禦措施。以下是針對TCP的幾種常見DDoS攻擊手法及其運作原理與目的。

1.SYN洪水攻擊（SYN Flood Attack）

• 攻擊原理：

攻擊者在TCP三次握手過程中發送大量SYN（同步）封包，卻不完成最後一步握手，導致伺服器資源耗盡。

• 攻擊目的：

使伺服器的半開放連接表達到上限，阻止正常用戶建立新的連接。

2.ACK洪水攻擊（ACK Flood Attack）

• 攻擊原理：

攻擊者偽造大量ACK（確認）封包，並持續發送至目標伺服器。

• 攻擊目的：

佔用伺服器資源，降低其處理正常請求的能力。

3. RST洪水攻擊（RST Flood Attack）

• 攻擊原理：

透過發送大量RST封包，中斷伺服器與用戶間的TCP連接。

• 攻擊目的：

干擾伺服器的正常數據傳輸，破壞用戶體驗。

4.Push+Ack攻擊（Push+Ack Attack）

• 攻擊原理：

攻擊者持續向目標伺服器發送帶有PUSH和ACK標誌的封包。

• 攻擊目的：

耗盡伺服器資源，導致其運作效率大幅下降。

5.TCP連接耗盡攻擊（TCP Connection Exhaustion Attack）

• 攻擊原理：

攻擊者完成正常的TCP三次握手，但保持這些連接空閒而不進行數據傳輸。

• 攻擊目的：

佔滿伺服器的同時連接數，妨礙新用戶的連線請求。

6.慢速攻擊（Slowloris Attack）

• 攻擊原理：

攻擊者建立多個TCP連接，並以極慢的速度持續發送HTTP請求，保持連線狀態。

• 攻擊目的：

長時間佔用伺服器資源，使其他用戶無法正常連接或提交請求。

7.零日攻擊（Zero-Day Exploits）

• 攻擊原理：

利用伺服器TCP協定中的未知安全漏洞進行攻擊。

• 攻擊目的：

繞過現有安全防護，對伺服器造成直接損害。

UDP協定常見的DDoS攻擊類型

UDP協定因為其快速和簡單的特性，常被用於即時串流和線上遊戲等應用。它有三個主要特性：第一，不用建立連線（不像TCP需要三次握手），這讓UDP的傳輸速度非常快；第二，協定本身設計簡單，不用花時間建立和維護連線；第三，UDP沒有內建的錯誤檢查和流量控制功能，所以處理速度很快。

然而，這些特性也讓UDP更容易受到網路攻擊，例如UDP Flood攻擊就是一種常見的DDoS攻擊手法。因為不用建立連線，攻擊者可以輕易地發送大量的偽造封包；因為沒有錯誤檢查，攻擊者可以更容易地發送惡意資料，這些都可能導致網路壅塞或服務中斷，對網路安全造成嚴重威脅。

常見的UDP DDoS攻擊類型

以下是常見的UDP DDoS攻擊，這些攻擊會讓網站或服務無法正常運作：

1.UDP Flood攻擊（UDP洪水攻擊）： 

這是一種常見的DDoS攻擊手法，攻擊者會發送大量的UDP封包到目標伺服器的不同端口，試圖耗盡伺服器的資源。由於UDP協定不需要連線，攻擊者可以輕易地發送大量的偽造封包，使目標伺服器忙於處理這些無效的請求，最終導致伺服器不堪負荷，無法回應正常的網路流量，造成服務中斷。

2.DNS放大攻擊（DNS Amplification Attack）：

這是一種利用DNS伺服器來放大攻擊流量的DDoS攻擊手法。攻擊者會偽造來源IP地址，向開放的DNS伺服器發送小量的請求，這些請求會觸發DNS伺服器回覆大量的資料，而這些資料會被導向攻擊目標，造成目標伺服器過載，導致網路癱瘓。這種攻擊可以將攻擊流量放大數十倍甚至數百倍，對目標造成極大的傷害。

3.NTP放大攻擊（NTP Amplification Attack）：

類似於DNS放大攻擊，攻擊者利用網路時間協定（NTP）伺服器的monlist指令，產生大量的回應流量。攻擊者將這些回應導向攻擊目標，使其頻寬和資源達到飽和，造成服務中斷。NTP放大攻擊也是一種流量放大攻擊，可以有效地癱瘓目標網路服務。

多重清洗技術，守護企業網路安全

騰雲運算展現DDoS防禦實力

面對日益嚴峻的DDoS攻擊威脅，騰雲運算以其獨有的智能清洗DDoS技術，為客戶提供堅實的網路安全防護。透過2023年台灣資安大會的案例分享，騰雲運算展示了其強大的DDoS防禦能力，成功抵禦了包含4G CC攻擊和混合TCP、SYN、NTP等多種協議、高達12億次的大流量阻斷服務攻擊，有效保障企業的營運安全和資料保密性。騰雲運算致力於為客戶守住最後一道網路安全防線。