如何通过Iptables利用TCP窗口大小特征识别并有效拦截自动化扫描行为？

本文共计945个文字，预计阅读时间需要4分钟。

iptables不支持直接匹配TCP窗口大小（Window Size）字段。TCP窗口值位于TCP头部，位于字节14到15的位置。iptables的内置匹配模块（如tcp、iprange、string等）均无法安全、可靠地提取和比较这些2字节字段——它们不适用于连接状态，也不在可被string或u32模块稳定解析的负载起始位置。窗口值随连接动态变化，无固定模式。

为什么不能用 iptables 直接匹配窗口大小

iptables 的 tcp 模块仅支持标志位（SYN/ACK/FIN等）、端口、序列号（--tcp-option 仅限选项字段）、MSS 和部分 TCP 选项，**不提供 --tcp-window 或类似原生参数**。有人尝试用 u32 模块按字节偏移读取窗口值，但存在严重问题：

• IP 分片会导致 TCP 头不在首片，u32 无法跨片重组，规则失效或误匹配
• TCP 选项长度可变（如 Timestamp、SACK），使窗口字段实际偏移不固定，硬编码偏移（如 0>>24&0x3F=0x08）极易错位
• 内核版本差异、GRO/GSO 卸载开启时，报文结构可能被修改，进一步破坏偏移可靠性
• 规则难以维护、调试困难，线上环境易引发策略漏放或误杀

更可行的替代方案：聚焦可检测的行为特征

自动化扫描（如 nmap -sS、masscan）虽偶有特定窗口值（例如 masscan 默认用 1024 或 64k），但该值极易伪造、无区分性。