选择UDP反射攻击防御方案，先要分清两件事：怎样减少本方网络成为反射器的风险，以及遭到攻击时怎样保障业务可用。攻击者伪造受害者的源地址，向可被滥用的UDP服务发送请求，服务器再把响应发给受害者；响应大于请求时，就会形成流量放大。DNS放大攻击、NTP服务滥用和暴露在公网的Memcached服务，都是需要纳入排查的场景。
下面的十项措施是检查清单，不代表固定排名。自建机房、云上业务和跨地域网络的适用方案不同，应先确认入口带宽、服务暴露面和上游处置能力。
年度十大防护措施
一、从源头减少反射器
- 过滤伪造源地址。在路由边界落实源地址验证，出站流量只允许使用本网络合法地址；与运营商确认其网络是否支持相应的反欺骗过滤。单靠受害端难以拦截已经从外部发出的伪造流量。
- 盘点公网UDP服务。逐台核查DNS、NTP等服务是否确有对外开放需求，关闭无用监听端口；管理接口限制在可信网段。Memcached等服务不应在无访问控制的情况下直接暴露公网。
- 加固必须开放的服务。使用维护版本，限制查询来源，并按软件能力配置响应速率限制。限制过严可能影响合法解析、时间同步或其他依赖UDP的业务，先观察基线再逐步调整。
- 设置出站访问规则。按业务清单允许必要的UDP目的地址和端口，记录异常目的地与突增流量。避免一刀切封禁UDP，否则可能中断DNS解析、语音或其他正常服务。
二、提高受攻击时的承载能力
- 让上游参与过滤。提前确认云平台、托管机房或运营商的攻击上报渠道、处置流程和可用清洗能力。上游过滤能在流量抵达本地链路前处理，通常比只在服务器上加规则更有效。
- 评估清洗服务。对公网入口流量较大或中断影响较高的业务，可比较云端清洗与本地设备：云端更适合在上游分流，本地设备便于自主管理，但受入口带宽和设备处理能力限制。核对支持的协议、启用条件、路由切换方式及误拦申诉流程。
- 评估Anycast与多地域接入。Anycast可将同一服务地址的流量引向多个网络节点，帮助分散负载；它不能单独消除攻击，也无法替代上游过滤。路由收敛、节点容量和业务状态同步都要纳入设计。
- 预留合理容量。结合正常峰值、可接受的业务降级程度和上游清洗能力规划带宽，不能仅靠扩容服务器解决链路被灌满的问题。容量阈值应按实际线路和流量基线测定，不存在适用于所有网络的统一数值。
三、让处置可观测、可执行
- 建立流量告警。监测入口与出口UDP流量、目的端口、包速率和来源分布，按业务时段设置基线。收到告警后同时核对上游流量与主机流量，避免把单个指标异常直接当成攻击结论。
- 编写应急步骤并演练。列明值班联系人、上游报障方式、可临时限制的端口、回滚条件和业务验证项。演练重点是确认谁能下发策略、策略是否生效，以及解除限制后服务是否恢复。
怎么选：按风险和网络位置决定
如果主要担心自有服务器被滥用，优先做公网服务盘点、访问限制和出站过滤；如果担心外部流量打满线路，应先谈妥运营商或云平台的上游清洗与升级流程；跨地域服务可再评估Anycast和多入口。预算有限时，先完成资产核查、关闭不必要端口、设置告警和准备报障资料，再按业务中断成本采购清洗能力。
上线前记录现有规则和业务依赖，分批调整并验证合法UDP请求。发生攻击时，不要未经评估直接封禁所有UDP端口。可靠的UDP反射攻击防御方案应覆盖预防、上游缓解、监测和恢复，并定期复核服务清单。
常见问题
UDP反射攻击一定会造成带宽拥塞吗？
不一定。影响取决于攻击流量、链路容量、过滤位置和业务架构；即使链路未满，相关设备处理压力也可能影响服务。
关闭UDP就能防住攻击吗？
不能作为通用做法。关闭不必要的UDP服务有帮助，但全面封禁可能破坏正常业务，也无法阻止攻击流量先抵达网络入口。
小型网络需要购买清洗服务吗？
应结合公网暴露程度、中断损失和上游现有能力判断。先询问运营商或云平台提供哪些缓解方式，再比较服务覆盖范围、响应流程与成本。