TG咨询UDP反射攻击防护的核心难题，不只是丢弃异常数据包，而是判断流量应在网络入口拦截，还是交给业务服务器本地处理。攻击者通常伪造受害者的源地址，向公开的DNS、NTP、SSDP或CLDAP服务发送请求，再利用响应包体积较大的特点，把流量反射到目标地址。受害方看到的往往是大量来自不同地址的UDP响应，单靠服务器上的一条封禁规则很难解决。
因此，带宽清洗与本地限流不是完全互斥的选项。前者负责在上游减少进入链路的攻击流量，后者负责保护主机、端口和具体业务。选择前应先确认攻击是否已经影响接入带宽，再决定防护位置。
先区分两种策略解决什么问题
带宽清洗：优先解决链路被占满
带宽清洗通常由具备更大接入能力的上游网络完成。流量经过牵引或路由切换后，在清洗节点识别异常UDP包，再把相对干净的流量回送到源站。它适合攻击峰值已经接近或超过机房、专线、云主机公网带宽的场景。
它的优点是处理规模大，能够在源站之外消化攻击流量；缺点是可能引入切换时间、额外路径，以及误拦截正常UDP业务的风险。对实时音视频、在线游戏、DNS权威服务等业务，还要关注时延、丢包和回源路径是否稳定。
本地限流：优先保护主机和业务端口
本地限流依靠主机防火墙、云安全组、负载均衡器或应用网关，对UDP端口、报文速率、连接状态和报文长度设定约束。它适合攻击规模尚未压垮链路，或者需要快速保护单台服务器的情况。
本地限流部署快、成本和改动范围较小，也便于针对不同端口采用不同规则。但它无法让已经进入运营商链路的流量消失。如果攻击流量占用链路可用带宽约70%至80%以上，即使主机最终丢弃数据包，正常用户也可能先受到拥塞影响。
| 比较项目 | 带宽清洗 | 本地限流 |
|---|---|---|
| 主要拦截位置 | 运营商或云网络入口 | 主机、边界设备或负载均衡器 |
| 适合规模 | 大流量、持续性或多源攻击 | 小到中等流量、明确端口攻击 |
| 响应特点 | 需要开通、牵引或切换流程 | 通常可快速修改规则 |
| 主要风险 | 误清洗、路径变化、业务抖动 | 链路仍拥塞，主机资源可能先耗尽 |
按攻击现象选择防护位置
判断UDP反射攻击防护方案时，不要只看峰值流量，还要观察入站带宽利用率、UDP目标端口、包长分布、每秒数据包数和正常业务成功率。DNS反射常见于53端口，NTP反射常见于123端口，SSDP反射常见于1900端口；这些端口出现异常流量并不等于一定遭受攻击，还需要结合业务是否确实提供对应服务。
- 链路接近满载：优先启用上游清洗或运营商侧过滤，本地限流只能作为补充。
- 链路尚有余量但服务器CPU、软中断或内核队列升高：先在边界设备和主机侧限制异常速率。
- 只有某一个UDP服务异常：针对端口、协议格式和来源范围制定规则，避免直接封禁全部UDP。
- 攻击来源不断变化：不要依赖固定地址黑名单，应更多使用速率、报文特征和状态校验。
对于不需要公网开放的UDP端口，关闭服务通常比限流更可靠。必须开放的服务，则应确认是否支持源地址验证、请求响应频率控制和最小必要暴露范围。
可执行的组合防护步骤
- 建立基线。在正常业务时段记录至少一到数个工作日的UDP流量、端口分布、每秒包数和业务丢包情况。实时音视频与普通查询服务的正常范围差异很大，不能套用同一个阈值。
- 先缩小暴露面。关闭不使用的UDP服务，只允许确有业务需要的端口；管理类协议尽量限制在专用网络、VPN或明确的办公出口范围内。
- 设置分层限流。在边界设备限制单一来源、单一目标端口和整体UDP速率，同时为DNS、语音、游戏等不同业务保留独立规则。阈值应以基线为起点，并在数分钟观察窗口内逐步调整。
- 准备清洗切换条件。可把链路利用率持续超过约70%至80%、正常业务丢包明显增加、或本地设备丢包前CPU持续升高，作为联系上游清洗的参考信号，具体数值仍需结合链路容量和业务敏感度。
- 验证清洗后的回程。检查源站是否被隐藏、路由是否稳定、允许的UDP端口是否完整，以及清洗规则是否误伤合法用户。攻击停止后，不要立即撤销所有本地限流，应先观察一段时间并保留审计记录。
如何避免本地限流误伤正常业务
本地限流最容易出现的问题，是把突发但合法的流量误判为攻击。例如多人同时进入语音会议，或游戏服务器在整点活动开始时出现短时峰值，单看每秒数据包数可能与异常流量相似。规则应尽量同时参考目标端口、报文长度、状态响应、来源网络和持续时间。
对无法完成协议校验的异常UDP包，可以在边界处优先丢弃；对需要连续传输的业务，则应保留足够的突发额度。修改规则后，至少观察正常请求成功率、延迟、丢包和服务器软中断变化。若设备支持采样日志，应记录规则命中量和丢弃原因，但避免在攻击高峰开启过度详细的逐包日志，以免磁盘和CPU成为新的瓶颈。
结论：两者应按阶段组合
带宽清洗适合解决“流量进不来”的问题，本地限流适合解决“进来的流量不能拖垮服务”的问题。较稳妥的UDP反射攻击防护通常是平时保持最小暴露面和基础限流，攻击超过链路承载能力时切换上游清洗，清洗完成后再用本地规则保护具体业务。最终方案应以真实链路容量、协议特征和故障切换能力为依据，而不是单纯比较设备价格或规则数量。
常见问题
本地限流能完全防住UDP反射攻击吗？
不能。它能减少主机处理压力，但无法消除已经占用接入链路的流量。链路拥塞时需要上游过滤或带宽清洗。
是否应该直接封禁所有UDP流量？
通常不应这样做。DNS、语音、视频、在线游戏和部分基础设施依赖UDP，应先按端口、协议和业务必要性进行精细控制。
清洗服务开启后还需要本地限流吗？
需要。清洗规则可能存在延迟或误差，本地限流可以继续保护主机资源，并限制清洗后残留的异常流量。
没有专用清洗服务时先做什么？
先关闭不必要的UDP服务，收紧开放端口，在边界设备设置速率限制，并尽快联系网络接入方确认临时过滤和扩容方案。
