反射放大攻击利用可伪造的 UDP 源地址：攻击者把受害者地址写入请求，开放服务便将响应发给受害者。排查重点不是盲目封掉 UDP，而是确认哪些服务能从公网访问、是否会回应不可信请求。以下十项可作为反射放大攻击的协议滥用防护方法检查表；协议未部署时，记录“不适用”即可。
先确认暴露面，再核对协议配置
- 盘点公网 UDP 服务。从防火墙、云安全组和主机监听配置中列出地址、端口、用途及负责人。确认服务是否必须公网可达；不需要的，先移除对应放行规则，再验证业务连通性。
- 限制 DNS 递归。将递归解析器与权威 DNS 分开管理；递归只对可信网段开放，公网权威服务器则不应顺带为任意客户端解析外部域名。改动后从非授权网络验证其不会提供递归结果。
- 给 DNS 响应设限。在支持的权威 DNS 软件中启用响应速率限制，并按客户端、查询类型等条件配置。阈值要结合正常流量观察调整：过松难以抑制滥用，过严可能影响合法查询。
- 收紧 NTP 查询权限。限制状态查询和管理查询仅来自运维网段；旧版或遗留配置尤其要检查是否允许列出对等端等信息。若设备只需对时，按其用途关闭不必要的查询能力。
- 限制 SSDP 的可达范围。SSDP 常用于局域网设备发现，通常不需要暴露到互联网。检查 UDP 1900 的路由与防火墙规则，将发现流量限定在可信局域网；不使用相关发现功能时，关闭服务。
- 隔离 CLDAP。确认 UDP 389 是否确有业务依赖。若有，将访问范围收紧至所需网段或可信主机；若无，则关闭相应服务和入口。不能只凭端口号判断用途，应先核实实际服务。
- 关闭不需要的 Memcached UDP。Memcached 若仅供应用内部使用，应限制在私有网络；检查服务是否启用了 UDP 接收，并按软件版本采用受支持的配置关闭该功能。变更后确认应用仍能通过预期传输方式访问。
- 清理遗留应答服务。核查 CHARGEN、QOTD 等不再需要的服务及其 UDP 入口。发现遗留实例时，优先停用服务并移除防火墙放行，而非仅依赖边界设备临时限速。
- 部署源地址验证。在网络入口按拓扑实施入站源地址过滤，拒绝明显不可能从该接口进入的源地址；同时检查出口策略，减少内部主机向互联网发送伪造源地址报文的机会。多宿主、非对称路由环境需谨慎评估，避免误拦合法流量。
- 限制异常响应并监测。按业务特征对 UDP 请求速率、响应速率和出入方向流量设告警；先建立正常时段基线，再设置分级阈值。保留协议、源网段、目的端口和时间信息，便于区分配置错误、突发业务与疑似滥用。
变更后怎样验证
按“盘点—调整—复测—留档”执行：先记录现有规则和依赖方；一次只改一类服务，并安排回退方案；从授权网络和非授权网络分别检查访问结果；再查看防火墙及服务日志，确认合法业务未受影响。响应放大倍数会随请求类型、协议实现和配置变化，不能用一个固定数值代表所有环境。
把这十项纳入周期性配置审查，才能让反射放大攻击的协议滥用防护方法落到可验证的权限、规则和日志上。若流量已超过本地链路承载能力，应同时联系网络服务提供方处理上游流量，单靠主机限速未必来得及。
常见问题
只封 UDP 就能防护吗？
不能。UDP 承载 DNS、对时等正常业务。应按用途限制服务和来源，而不是无差别封禁。
公网权威 DNS 是否必须关闭？
不必。关键是避免开放递归，并按解析职责配置访问控制和响应限制。
关闭协议后还要检查什么？
检查防火墙、云安全组、容器映射和上游设备是否仍开放入口，并复测业务依赖。
什么时候需要上游协助？
当入站流量已挤占接入带宽，或本地设备无法稳定处理时，应尽快联系网络服务提供方协同缓解。