每天的晚上20:00至23:00，用户量暴增，香港服务器上的UDP会话连接出现频繁中断、丢包率激增，玩家反馈“频繁掉线”、“技能释放延迟”等问题异常集中。
初步排查并无明显DDoS攻击，但网络栈表现明显异常。深入分析后，我意识到这是典型的UDP会话在高并发场景下缺乏状态管控与优先保障机制所致。最终我们通过结合防火墙状态匹配与QoS策略构建UDP会话保护机制，成功将丢包率从 12% 降至不足 1%，大幅提升玩家在线体验。
以下是我在香港服务器环境中实战部署的一套完整技术方案。
一、问题本质：UDP协议的无连接特性导致会话易受挤压
UDP虽然低延迟，但：
- 不维护连接状态，NAT或防火墙难以识别“活跃会话”
- 容易被突发高频短包流（如垃圾UDP或探测包）挤压出队列
- 缺乏优先级调度机制，在队列饱和时被统一丢弃
- 因此，我们必须从“识别合法会话”+“保障其传输优先级”两方面入手，构建防火墙+QoS联动方案。
二、整体方案架构
┌─────────────┐
│ 公网访问入口 │
└─────┬───────┘
│
┌──────▼───────┐
│iptables + conntrack 状态识别│
└──────┬───────┘
│
┌──────▼───────┐
│ tc + IFB + HTB QoS限速 │
└──────┬───────┘
│
┌─────▼──────┐
│ 游戏逻辑处理 │
└────────────┘
三、防火墙会话识别：使用 conntrack 过滤非法UDP
UDP默认无状态，无法用ESTABLISHED语义管理。我们使用nf_conntrack模块开启UDP会话状态追踪：
3.1 启用 nf_conntrack_udp 模块
modprobe nf_conntrack_udp
echo 600 > /proc/sys/net/netfilter/nf_conntrack_udp_timeout
echo 60 > /proc/sys/net/netfilter/nf_conntrack_udp_timeout_stream
3.2 配置 iptables 状态过滤规则
iptables -A INPUT -p udp -m conntrack --ctstate NEW,ESTABLISHED -j ACCEPT
iptables -A INPUT -p udp -m conntrack --ctstate INVALID -j DROP
这个规则确保：
- 新建/已建立的连接可以继续传输
- 异常来源或伪造包（如大量短连接扫描）直接丢弃
四、QoS保障机制：基于IFB+tc构建优先通道
在UDP连接可识别基础上，我们使用Linux tc 结合 HTB 对合法UDP会话流量进行优先保障，避免其被TCP或冗余UDP流量挤占。
4.1 加载 ifb 模块并建立中转虚接口
modprobe ifb
ip link add ifb0 type ifb
ip link set up dev ifb0
# 重定向入口流量到 ifb0（以 eth0 为示例）
tc qdisc add dev eth0 ingress
tc filter add dev eth0 parent ffff: \
protocol ip u32 match u32 0 0 action mirred egress redirect dev ifb0
4.2 配置 tc 队列调度器与UDP优先级队列
tc qdisc add dev ifb0 root handle 1: htb default 30
# 定义root class
tc class add dev ifb0 parent 1: classid 1:1 htb rate 1000mbit
# 为UDP业务分配高优通道（10 class）
tc class add dev ifb0 parent 1:1 classid 1:10 htb rate 600mbit ceil 800mbit prio 1
# 为普通业务（30 class）分配剩余带宽
tc class add dev ifb0 parent 1:1 classid 1:30 htb rate 200mbit ceil 1000mbit prio 5
4.3 基于端口过滤，绑定UDP游戏业务至优先队列
# 假设游戏UDP端口为 27015
tc filter add dev ifb0 protocol ip parent 1: prio 1 u32 \
match ip protocol 17 0xff \
match ip dport 27015 0xffff flowid 1:10
这个策略确保游戏UDP数据流始终调度在优先队列中。
五、附加调优建议
5.1 调大 UDP 缓冲区，防止短时间突发丢包
sysctl -w net.core.rmem_max=16777216
sysctl -w net.core.rmem_default=8388608
5.2 限制每秒UDP连接数，阻断暴力扫描
iptables -A INPUT -p udp --dport 27015 -m limit --limit 50/second --limit-burst 100 -j ACCEPT
iptables -A INPUT -p udp --dport 27015 -j DROP
六、实战效果与回顾
部署上述策略后：
- 用户高峰期UDP丢包率从 12% 降至 0.8%
- UDP会话连接数更稳定，延迟降低约20%
- 非法UDP扫描包被精准丢弃，未影响正常流量
- 网络带宽利用更均衡，避免QoS下TCP拥塞反弹
UDP虽然灵活高效，但在高并发游戏场景下极易受到无状态设计的限制。通过结合：
- iptables + conntrack进行“合法会话识别”
- tc + ifb + HTB构建“优先保障队列”
我们不仅在香港服务器环境中稳定住了核心UDP业务，还为后续IPv6、MPTCP等协议的接入打下了良好基础。对任何依赖UDP的实时游戏、语音、直播业务而言，这种“防火墙+QoS双向护航”策略，是一套必须掌握的核心能力。
