收到突发 UDP 流量告警时，先别急着封掉所有 UDP。DNS、NTP 等服务都可能正常使用 UDP；错误封禁会造成新的业务故障。判断是否属于反射放大攻击，要结合流量方向、端口、报文特征和服务日志。本文围绕UDP放大攻击的流量特征与缓解措施，拆解五种处置方案，并说明清洗与源头限流分别能解决什么问题。
先看流量：反射放大有哪些信号
攻击者伪造受害者的源地址，向可被滥用的 UDP 服务发送请求，响应便被发往受害者。常见反射来源包括开放 DNS 解析器、NTP 服务、SSDP 设备和 CLDAP 服务。受害端可能看到入站 UDP 流量骤增、响应集中来自大量不同地址，且目标端口与服务类型呈现一定规律；而受害端并未向这些地址发起对应请求。
单看流量峰值不足以定性。应同时核对 NetFlow、sFlow 或防火墙会话记录，比较入站与出站流量，检查 UDP 端口分布、包长及流量持续时间，并确认服务器是否存在相应业务请求。响应源地址分散、入站远高于出站，是重要线索，但也可能出现在合法的媒体传输或大型服务访问中。UDP放大攻击的流量特征与缓解措施需要结合业务基线判断，避免把正常流量一并拦截。
五种处置方案：由应急到源头治理
1. 请求上游清洗或临时黑洞
若攻击流量已占满接入带宽，应立即联系网络服务商或具备 DDoS 清洗能力的上游，请其在流量到达链路前过滤。清洗可依据协议、端口、流量行为等策略区分攻击与正常流量；如果无法保留可用业务，服务商也可能建议临时黑洞，将目标地址流量整体丢弃。清洗的优势是靠近流量入口，适合链路受压场景；限制是误判可能影响真实用户，黑洞则会使该地址的业务不可达。提供受影响地址、起始时间、流量曲线和业务端口，有助于加快协同。
2. 在网络边界按特征过滤
在路由器、防火墙或云网络控制台检查 UDP 目的端口及来源分布。确认某端口与业务无关且确实承载攻击后，可按目标地址、端口或已知异常特征设置临时规则，再观察丢包和业务告警。不要仅凭“UDP 流量高”封禁整个协议：DNS 查询、语音和实时传输都可能受影响。边界设备也有处理能力上限；若入站链路已经饱和，本地过滤无法恢复被占用的带宽。
3. 对自有 UDP 服务限速或收窄访问面
对自身提供的 DNS、NTP 等服务，检查是否向互联网开放了不必要的递归、管理或查询能力；关闭非必需功能，并依据业务来源限制访问。对请求速率设置阈值时，应按单个来源、请求类型和总体负载评估，先观察正常峰值，再逐步启用限速与告警。严格阈值可能误伤共享出口后的多个用户。还要注意：服务端限速只能减少自家服务被滥用造成的反射，不能直接阻止其他反射器把流量打向受害端。
4. 使用具备上游防护的托管或抗 DDoS 服务
将对外服务接入能够在上游处理攻击流量的托管防护，适合缺少自有清洗能力、需要持续防护的组织。迁移前核实它是否覆盖 UDP、能否处理目标协议，以及切换地址、路由和回源的要求；演练正常访问与故障回退。与临时人工清洗相比，这类服务更适合常态化防护，但接入方式、可见日志、误拦截处理和费用结构因服务商而异，不能只凭“支持 DDoS”判断效果。
5. 从网络源头减少伪造流量
网络运营方可部署出口源地址验证，阻止从本网络发出的报文伪造外部源地址；这是 BCP 38 等反源地址伪造实践所倡导的方向。服务运营者也可与上游核实相关过滤能力，并推动关闭开放反射服务。源头治理能减少伪造报文及可滥用服务器，但需要网络侧协作，难以由单一受害者立即完成；它也不能代替遭受攻击时的清洗和业务连续性预案。
现场处置顺序：先保通，再收敛
- 确认影响：记录受影响地址、协议、端口、入站带宽、丢包和业务错误，留存流量图与告警时间。
- 判断链路位置：若接入链路已满，优先请求上游清洗；若链路尚有余量，再评估边界过滤或服务限速。
- 小范围实施：从明确无业务需求的端口或已确认的异常流量规则开始，变更后观察用户访问、丢包和服务日志。
- 复核并恢复：攻击减弱后分阶段撤销临时规则，确认正常 UDP 服务恢复；随后补齐限速、源地址验证协作和应急联系人。
这五种方案并非互相替代：清洗负责在上游削减抵达目标的流量，边界规则负责本地可识别流量，源头限流针对自有服务，托管防护提供持续能力，反伪造措施则降低攻击基础。选择时先看瓶颈在哪里，再依据业务可容忍的误拦截程度决定策略。理解UDP放大攻击的流量特征与缓解措施，关键是把识别、缓解和源头治理分开评估。
常见问题
UDP 流量突然升高，就一定是放大攻击吗？
不一定。合法业务增长也会抬高 UDP 流量，应结合目标端口、来源分布、请求记录及业务变化判断。
只封锁 UDP/123 或 UDP/1900 可以吗？
不应直接照搬固定封禁。先确认端口对应的服务和业务依赖；规则过宽可能影响 NTP、SSDP 或其他正常通信。
受害服务器开启限速能挡住攻击吗？
如果流量已经挤满接入链路，服务器限速通常无法释放链路带宽。此时应优先协调上游清洗。
攻击结束后还要检查什么？
核对临时规则是否需要撤销、服务是否恢复，并复盘告警、流量记录、上游响应和应急流程，完善长期防护。
