UDP反射攻击利用伪造的源地址向公开服务发送请求，让响应流量涌向被攻击目标。业务遭遇这类流量时，网络侧可先执行以下五项配置。它们构成一套可落地的UDP反射攻击防护策略与网络配置，重点是减少可被利用的响应端、尽早识别异常，并为流量高峰准备处置路径。
先堵住伪造源地址的出口
1. 配置源地址验证
在网络边界检查出站报文的源地址是否属于本网络可合法使用的地址范围。对于不匹配的流量，按网络设计丢弃或告警，避免内部设备向外发送伪造来源的请求。这类源地址验证能减少本网络成为反射流量发起端的风险，但不能单独阻止外部网络中的设备攻击本业务。
- 梳理各出口实际承载的网段及特殊路由，确认允许的源地址范围。
- 先以日志或计数器观察不匹配流量，排除多出口、隧道和非对称路由造成的误判。
- 分批启用过滤，核对丢弃计数与业务告警；发现合法流量受影响时，先检查路由和例外规则。
减少可被利用的响应面
2. 盘点并限制公网 UDP 服务
检查边界设备和主机上对公网开放的 UDP 服务，只保留业务确实需要的端口，并将管理类服务限制在受控来源或专用管理网络。DNS、NTP、SSDP、CLDAP 等服务可能被用于反射放大，但是否适用取决于实际部署；不能因为端口名称相同就直接封禁。
对自管的 DNS 服务，确认递归查询只面向授权客户端，并检查响应策略；NTP 服务应关闭不必要的旧式查询功能。变更前先核对依赖这些服务的客户端、监控和运维系统，避免把正常解析或时间同步一并切断。
3. 为 UDP 流量设置分层速率限制
在边界路由器、防火墙或主机防护层，按协议、目的服务和业务重要程度设置限速或连接速率限制。优先限制无业务用途的端口和异常突增的流量，不要对所有 UDP 使用同一个低阈值：语音、实时传输和 DNS 等业务对丢包与时延的容忍度不同。
阈值应根据正常时段的基线、峰值和设备处理能力调整。可先观察数天至数周的流量曲线，再从较宽松的告警阈值开始，确认规则命中对象后逐步收紧；具体数值没有适用于所有网络的统一标准。速率限制能控制部分流量，却无法保证链路拥塞时业务仍可用。
让异常更早被发现、处置更快
4. 建立流量遥测和告警
启用 NetFlow、sFlow 或设备自带的流量统计，按目的地址、UDP 端口、包速率和字节速率观察变化；同时监测出口丢包、接口利用率、防火墙会话表和关键业务的可达性。反射流量常表现为短时间内某些目的端口的入站 UDP 明显上升，但仅凭单一指标不能断定攻击。
设置与历史基线关联的分级告警，并将告警通知到值班人员。触发后保留带时间范围的流量记录和必要的报文头信息，供网络团队判断来源特征与受影响服务。采样流量适合趋势分析，未必能还原每个报文；需要更细证据时，应确认设备资源允许再进行短时抓包。
5. 预先准备上游限流或清洗协同
如果入站流量已经压满接入链路，本地 ACL 即使丢弃报文，也无法恢复被占用的链路容量。应提前确认运营商或上游网络的紧急联系渠道、可用的限流方式，以及是否提供流量清洗服务。按预案准备受影响目标、业务优先级、攻击特征和回退条件，便于请求上游采取临时处置。
黑洞路由可能快速隔离受攻击目标，但通常会让该目标的正常流量也无法到达；流量清洗则可能保留合法业务，但依赖服务能力、接入方式和识别效果。应根据影响范围选择，并在事件结束后按预案撤销临时规则、核对路由与业务恢复情况。
配置顺序与常见问题
实操时，可先启用流量监测并核实公网服务，再分批落实源地址验证和访问限制；速率限制应在基线基础上调整，上游协同方案则最好在事件前确认。完整的UDP反射攻击防护策略与网络配置，既要控制放大来源，也要考虑链路容量、误拦截和业务恢复。
- 能否直接封禁所有 UDP？
通常不建议。此举可能影响 DNS、语音、实时通信等正常业务，应按端口、来源和用途收敛规则。 - 限速后为什么业务仍然中断？
若流量先占满接入链路，设备随后丢弃报文也不能释放上游已被占用的带宽，需要上游协同处置。 - 小型网络先做哪项最合适？
先盘点公网 UDP 服务并关闭不需要的暴露，同时开启边界流量统计；之后再评估源地址验证和限速规则。 - 黑洞路由适合所有攻击吗？
不适合。它可能连同正常访问一起丢弃，只有在隔离目标比维持该目标可达更重要、且已确认影响范围时才考虑。
