.NET TcpListener如何处理未完成TCP握手的超时半连接

核心事实澄清 #

• TcpListener 以及配套的 TcpClient 类没有提供任何TCP三次握手完成前的半连接管控原生能力。
• 无论同步阻塞的 AcceptTcpClient()，还是异步的 BeginAcceptTcpClient/AcceptTcpClientAsync 接口，都只会在三次握手全部完成、连接进入ESTABLISHED状态、进入内核全连接（Accept）队列后才会返回结果或触发回调。半连接存储在内核的SYN半连接队列中，完全不会被上述API感知到，握手未完成时Accept相关调用会持续阻塞，也不会触发异步回调。
• 给监听套接字设置的ReceiveTimeout/SendTimeout属性完全不覆盖半连接场景，这两个属性仅对已完成建立的连接的读写操作生效，对内核维护的半连接队列无任何影响。
• 不存在基于.NET托管层原生API实现「收到SYN报文就立即触发通知、无需等待握手完成」的方案。三次握手阶段的连接处理完全由操作系统内核TCP协议栈负责，用户态程序（包括运行在.NET上的托管程序）默认没有权限、也没有接口可以直接读取半连接队列的条目。

半连接留存时长管控实现方式 #

半连接的超时回收完全依赖操作系统内核配置，要把未完成握手的连接留存时间控制在数秒以内，只能通过调整系统级TCP参数实现：

Windows 系统 #

使用内置的NetTCPIP PowerShell模块调整参数即可，无需修改业务代码：

# 查看当前所有TCP配置场景的SYN半连接超时（单位：毫秒）
Get-NetTCPSetting | Select SettingName, SynTimeout, SynRetransmitCount

# 针对公网常用的InternetCustom配置项，设置半连接SYN超时为1秒，SYN重传次数为1
# 数值可根据实际业务需求调整，总半连接留存时间≈SynTimeout * (SynRetransmitCount +1)
Set-NetTCPSetting -SettingName InternetCustom -SynTimeout 1000 -SynRetransmitCount 1

执行上述命令需要管理员权限，配置即时生效，重启系统也会保留。

Linux 系统 #

通过sysctl调整内核TCP参数即可：

# 临时生效：设置SYN+ACK重传次数为1，对应半连接留存时间约3秒
sysctl -w net.ipv4.tcp_synack_retries=1
# 若要永久生效，将net.ipv4.tcp_synack_retries=1写入/etc/sysctl.conf文件后执行sysctl -p加载配置

补充说明 #

你之前了解的NetworkStream.ReadTimeout/WriteTimeout配置、基于数据传输事件重置的空闲会话计时器逻辑，仅适用于已经完成三次握手的正常连接，和半连接管控属于完全独立的两层逻辑，互不冲突，原有已建立连接的无响应客户端处理逻辑可以正常保留。

额外提示：如果需要防御SYN洪水攻击，除了调低半连接超时，建议直接开启操作系统自带的SYN Cookie功能，不要尝试在用户态代码层面实现半连接检测，这类实现没有可行的技术路径。

内容的提问来源于stack exchange，提问作者Jake1234