我管理的一个电商客户在上个月的618前夕遭遇了大规模的UDP Flood攻击。攻击开始于凌晨3点，流量峰值迅速飙升至每秒 1000万包（pps），攻击目标是位于香港的数据中心的一组高防服务器。监控平台报警狂响、业务响应骤降，尽管有高防接入，但面对如此高频的UDP攻击，传统配置显得力不从心。

我知道，仅靠IDC提供的基础防护远远不够，我们必须“自己动手，丰衣足食”——通过 Linux内核调优、内核态限速、分布式WAF前置策略 等手段，从系统层到应用层全面防御。

这篇文章，我将复盘整个防御过程，详细介绍如何通过操作系统层调优和WAF架构优化，使香港高防服务器真正具备扛住千万pps UDP Flood的能力。

一、理解UDP Flood攻击机制

UDP Flood 是什么？

UDP Flood 是一种典型的 无连接型DDoS攻击，攻击者伪造源IP地址向目标UDP端口发送海量数据包。被攻击服务器会不断处理这些“空洞”数据包，并尝试回应不可达报文（ICMP），消耗 CPU、内存、网络堆栈资源。

高频率UDP攻击的危害

• 网络带宽被打满
• 服务器CPU因内核中断频繁飙升
• 产生大量conntrack记录造成资源耗尽
• 日志系统被快速写爆

二、网络与内核调优方案（系统层）

1. 禁用不必要的UDP响应行为

# 禁用ICMP端口不可达响应，避免被攻击者利用诱发反射
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
echo 1 > /proc/sys/net/ipv4/conf/all/accept_redirects

2. 提升核心网络参数

# 提高socket接收队列长度
sysctl -w net.core.netdev_max_backlog=250000

# 增大socket缓冲区
sysctl -w net.core.rmem_max=67108864
sysctl -w net.core.rmem_default=262144

# 提高每秒包处理能力
sysctl -w net.core.somaxconn=65535

3. Drop 小包快速转发

利用iptables或nftables直接丢弃非业务端口的小UDP包：

iptables -t raw -A PREROUTING -p udp -m length --length 0:64 -j DROP

4. eBPF + XDP 防护（进阶）

部署 eBPF 程序于 XDP 层做入网即丢，比 iptables 快一个数量级以上：

// 示例 XDP 程序（只做基本丢包）
if (udp_hdr->dest != htons(业务端口)) {
    return XDP_DROP;
}

加载方式：使用 xdp-loader 或 ip link set dev eth0 xdp obj udp-filter.o

三、内核限速策略（tc + BPF）

配合 tc 与 cls_bpf 实现基于 UDP 的速率限制：

tc qdisc add dev eth0 clsact
tc filter add dev eth0 ingress bpf da obj udp_rate_limit.o sec classifier

我们在 eBPF 中实现每个 src IP 的速率统计，并在超过阈值后标记并 drop。

四、构建分布式WAF前置策略（应用层）

1. 架构设计

前置部署分布式WAF节点，采用如下模式：

用户流量 → 高防IP → WAF边缘节点（香港） → 内部服务节点（K8s 或物理机）

边缘WAF节点部署 Nginx + Lua + Redis + OpenResty，支持按源IP行为分析与动态封禁。

2. UDP 业务代理分流

如果确实需要 UDP 服务（如 DNS、VoIP），必须通过专门代理+分布策略处理。例如：

• 使用 HAProxy + UDP Balancer
• 每秒统计每IP访问频率，超过设定阈值的打入灰名单
• 灰名单IP转发到空服务器或直接丢弃

3. 热更新封禁IP机制

封禁策略不应依赖重启服务，而应实现 Redis + Nginx 动态共享：

local ip = ngx.var.remote_addr
local blocked = redis:get("block:" .. ip)

if blocked then
    return ngx.exit(444)
end

五、使用高性能DDoS检测与可视化工具

推荐工具

• netdata / Prometheus + Grafana：实时可视化带宽与丢包率
• nprobe + ntopng：识别异常UDP流量
• fastnetmon：基于NetFlow/sFlow的流量模式识别，快速定位攻击IP段

六、实战回顾与总结

面对那次UDP Flood攻击，我们用了如下组合拳：

• 内核参数优化 + eBPF + XDP 实现入网即丢
• 边缘分布式WAF节点 检测与封禁高频IP
• tc + BPF 实现速率限制
• 灰名单机制与IP动态管控
• 流量监控系统快速响应

最终，服务器稳定运行，业务无感知。每秒1000万包的攻击流量虽猛，但通过上述层层防御，完全可控。

七、写在最后

如果你也在香港或海外节点部署高防服务器，一定要意识到：“高防”并不等于“万无一失”，真正顶得住流量的，是你从底层网络、内核到应用层的完整防御体系。

这不是一套“插件式”的解决方案，而是一场系统性的攻防对抗。我希望本文的经验能给你提供实操借鉴，也欢迎交流更极端的防护场景。