一、TCP建立连接的三次握手过程中，一方向另一方发送的第一个报文设置了SYN位，当某台设备接收到一个请求服务的初始报文时，该设备响应这个报文，发回一个设置了SYN和ACK位的报文，并等待源端来的ACK应答。

　　二、如果发送方并不回复ACK，主机就会因为超时而结束连接。当主机在等待这个连接超时的过程中，连接处于半开状态，半开连接消耗了主机的资源。在等待三次握手过程中耗尽主机资源就形成了SYN攻击，尤其是将成千上万的SYN发往某台主机，则该主机将很快崩溃掉。

　　三、在TCP连接请求到达目标主机之前，TCP拦截通过对其进行拦截和验证来阻止这种攻击，也就是说，路由器会代替主机进行连接，这时我就需要在路由器上配置TCP拦截来防止这种攻击了。

　　四、TCP拦截可以在两种模式上工作：拦截和监视，在拦截模式下，路由器拦截所有到达的TCP同步请求，并代表服务器建立与客户机的连接，并代表客户机建立与服务器的连接。如果两个连接都成功地实现，路由器就会将两个连接进行透明的合并，路由器有更为严格的超时限制，以防止其自身的资源被SYN攻击耗尽，在监视模式下，路由器被动地观察half-open连接的数目。

　　五、当一个路由器因为其所定义的门限值被超出而确认服务器正遭受攻击时，路由器就主动删除连接，直到half-open的连接值降到小于门限值，有两个因素用来判断路由器是否正在遭受攻击，如果超过了两个高门限值中的一个，则表明路由器正遭受攻击，直到门限值已经降至两个低门限值以下。

　　六、half-open连接总数与每分钟half-open连接的数量比率是相联系的。任何一个最大值到达，TCP拦截就被激活并且开始删除half-open连接，一旦TCP拦截被激活，这两个值都必须下降到TCP拦截的低设置值，以便停止删除连接。

　　最后说一下，拦截模式下，路由器响应到达的SYN请求，并代替服务器发送一个响应初始源IP地址的SYN、ACK报文，然后等待客户机的ACK，如果收到ACK，再将原来的SYN报文发往服务器，路由器代替原来的客户机与服务器一起完成三次握手过程。