TG咨询很多网络管理员发现异常流量后，第一反应是封禁目的端口。但在UDP反射攻击中，端口只是现象的一部分：攻击者往往伪造受害者地址，向可被滥用的UDP服务发送请求，由真实服务把响应返回给受害者。响应流量因此可能来自大量正常服务器，单纯封掉某个端口，往往只能处理一个入口，不能阻断伪造源地址和上游放大。
先弄清楚攻击链条
一次典型的UDP反射攻击通常包含三个角色：伪造源地址的发起端、对请求作出响应的反射器，以及承受流量的目标网络。攻击包可能发往SNMP的161端口、CoAP常见的5683端口，或其他对公网开放且响应内容明显大于请求内容的UDP服务。具体风险取决于服务配置、请求类型、访问控制和网络路径，不能只按端口号判断。
识别时应同时查看源地址、目的地址、端口、包长、协议标志和时间变化。若大量UDP流量声称来自不同公网地址，但本地并没有对应会话；或者入口带宽持续升高，而应用请求、连接数和业务日志没有同步变化，就应优先检查是否存在反射流量。流量大小通常会随攻击工具、反射器数量、线路带宽和过滤位置变化，不能用固定阈值替代分析。
为什么封禁端口不够
封的是入口，不是伪造源头
封禁某个目的端口可以快速降低一类流量，但攻击者能够更换反射服务、端口或数据特征。若过滤规则只针对一个端口，其他暴露的UDP服务仍可能成为入口。更重要的是，受害者收到的响应通常来自第三方地址，直接封禁这些地址可能误伤正常通信，也无法让反射器停止发送。
业务可能并不使用单一端口
实时音视频、在线游戏、VPN和部分物联网系统都可能依赖多个UDP端口，甚至使用动态端口范围。粗暴关闭整个UDP协议或大段端口，虽然有时能暂时止血，却会影响正常业务。因此，UDP反射攻击防护应区分“确认无业务的端口”“必须保留的端口”和“只允许特定来源访问的端口”。
建立分层的UDP反射攻击防护
第一层：减少可被利用的服务
- 盘点公网地址、负载均衡器、防火墙、主机和容器暴露的UDP端口，记录每个端口对应的服务、负责人和用途。
- 关闭不再使用的UDP服务，尤其是默认配置、无需公网访问或缺少身份校验的服务。
- 对SNMP等管理协议限制来源网段，优先通过专用管理网络访问，不让管理接口直接面向互联网。
- 为必须开放的服务启用认证、访问控制和最小响应策略，并持续检查配置是否因迁移或临时排障而放宽。
第二层：阻止源地址伪造
源地址验证是UDP反射攻击防护的基础。出口路由器应执行出口源地址过滤，禁止内部主机使用不属于本网络的源地址向外发送数据；边界设备还应结合入口过滤，拒绝明显不可能来自指定链路的地址。该方法通常由网络运营商、云平台和企业边界共同实施，单个受害者无法仅靠本地策略解决互联网其他位置的伪造流量。
如果组织使用云网络，应确认云平台提供的安全组、网络ACL、流量牵引或清洗服务分别能处理哪一层流量。安全组适合限制来源和端口，不能等同于大规模攻击清洗；上游清洗适合线路即将饱和时分担流量，但通常需要提前完成接入、路由或域名切换准备。
第三层：控制速率并保护业务
速率限制应按来源、目的端口、协议类型、包长和业务租户组合设计。对无状态UDP服务，可以设置每源地址或每接口的请求上限；对必须承载突发流量的游戏或语音业务，则应设置分级阈值，避免把正常高峰误判为攻击。限速适合保护处理能力，不能替代线路扩容或上游清洗，因为流量在到达限速设备前仍可能占满链路。
发生攻击时的可执行步骤
- 确认影响范围：记录开始时间、受影响地址、UDP端口、入口链路利用率和业务错误率，区分单台主机、一个网段还是整个站点。
- 先保留证据：保存经过脱敏的流量摘要、设备告警和防火墙命中记录，至少覆盖攻击前后的一段时间，便于比较变化。
- 缩小暴露面：关闭确认无业务的UDP端口；对必要端口临时收紧来源范围，并安排业务负责人验证影响。
- 联系上游处理：当入口链路接近饱和，及时向运营商、云平台或已有的清洗服务提交攻击特征，要求在更靠近流量源的位置过滤。
- 恢复与复盘：流量下降后不要立即撤销全部规则，先观察一段稳定窗口，再分批恢复，并更新资产清单、应急联系人和变更记录。
如何判断方案是否有效
评估UDP反射攻击防护，不应只看某个端口的流量是否下降。更有价值的指标包括：入口链路是否恢复余量、异常包是否在上游被丢弃、正常业务的延迟和丢包是否改善、过滤规则是否误伤合法客户端，以及暴露服务数量是否减少。对于重要系统，建议在低风险时段进行配置核查和故障演练，但不要主动向公网服务发起可能造成放大的测试流量。
常见问题
封掉所有UDP端口是否最安全？
不一定。它可能造成语音、游戏、VPN或物联网业务中断。更稳妥的做法是按业务清单实施最小开放，并对来源和速率进行限制。
把反射器IP全部加入黑名单有用吗？
通常只能短时缓解。反射器数量可能很多，地址也会变化，而且黑名单可能误伤正常服务，不能替代源地址验证和上游过滤。
小流量也需要处理吗？
需要。若小流量反复触发设备CPU、连接跟踪或应用队列压力，仍会影响可用性。应结合丢包、延迟、错误率和资源占用判断影响。
企业没有清洗服务怎么办？
先完成服务暴露面梳理、入口过滤、出口源地址验证和应急联系人登记；同时与线路运营商确认临时牵引或过滤能力。涉及大流量时，应尽早升级到上游处理。
因此，UDP反射攻击防护的重点不是找到一个“万能封禁端口”，而是减少可被滥用的UDP服务，阻断源地址伪造，在入口、主机和上游分别设置控制，并用业务指标验证效果。
