本文由财富云计算提供，我们提供高防服务器与 CDN 防护服务，NAT 型无独立公网 IP 价格比独立 IP 省一半以上，反射攻击只能靠机房清洗，文末有方案建议。

一、原理：借刀杀人的流量魔术

反射放大攻击分两步：

第一步：伪造请求

攻击者把 UDP 包的源 IP 改成你的 IP，发给互联网上的「可被利用服务器」（反射器）：

攻击者 → 伪造源IP=你的IP → NTP服务器: "monlist 请求"（小包，几十字节）

第二步：反射放大

反射器把响应发回「源 IP」——也就是你。而响应比请求大几十到几万倍：

NTP服务器 → 响应（大包，几KB）→ 你的IP 挨打

放大倍数 = 响应大小 ÷ 请求大小。Memcached 历史上能到 5 万倍：攻击者发 60 字节请求，反射回 3MB 响应——攻击者花 1Gbps，你挨 50Tbps（理论值，实际受反射器总量限制）。

正常 DDoS：  攻击者带宽 ──────→ 你（1:1，他花多少你挨多少）
反射放大：   攻击者带宽 ──→ 反射器军团 ──────→ 你（1:50+，他花 1G 你挨 50G）

二、常见反射源与现状

给服主的额外提醒：你自己的游戏服如果开了不必要的开放服务，也可能被攻击者当跳板打别人——别让自己成为作案工具。游戏服最小化暴露是双赢（端口最小化）。

三、如何识别自己在挨反射攻击

3.1 流量特征

# 服务器还连得上时（攻击中可能连不上，让高防后台看）
tcpdump -i eth0 -c 200 'udp' | head -30

# 看源端口分布——反射攻击的源端口集中在少数几个服务端口
tcpdump -i eth0 -c 10000 'udp' -w /tmp/attack.pcap
# 事后分析：源端口 123(NTP)/53(DNS)/1900(SSDP)/11211(Memcached) 占比高 = 反射攻击

3.2 判断清单

3.3 高防后台的确认

有高防的话，后台直接告诉你：「UDP 反射放大攻击，源端口 NTP，峰值 XXG」。攻击源 IP 数量（几千到几十万）也能看到——普通 Flood 源 IP 少，反射攻击源 IP 铺满全网。

四、为什么反射攻击只能靠机房清洗

这是新手最容易误解的地方：「我 iptables 封掉这些端口不就行了？」——不行。原因：

1. 你的带宽先满：反射流量从全网涌向你，到达你的机器之前，机房的带宽链路已经占满。包都到不了你的 iptables，规则写得再好也没用
2. 源 IP 是真实的：反射器是真的服务器，封 IP 封不完（几万个），而且封了正常流量也误伤
3. 黑洞是唯一出路：没有清洗能力时，运营商只能把整个 IP 段「黑洞」——这也是裸机挨反射攻击后长时间不可达的原因

硬件清洗为什么能洗：清洗设备在反射流量进入你的链路之前（机房入口）就识别特征（伪造源 IP 的 UDP 大包、源端口集中），直接丢弃——干净流量才回注给你。这套能力需要 T 级带宽 + 专用设备，个人服务器上不可能有（原理见清洗中心篇）。

五、服务器上能做的有限自保

洗不了，但能让机器在攻击后快速恢复、降低被选中的概率：

5.1 不回应无关 UDP

游戏服只开需要的 UDP 端口，其他全部关——减少「被打全端口」时的暴露面：

# 只放行业务 UDP 端口（示例：英灵神殿 2456-2458），其他 drop
iptables -A INPUT -p udp --dport 2456:2458 -j ACCEPT
iptables -A INPUT -p udp -j DROP

# 持久化
iptables-save > /etc/iptables/rules.v4

（完整模板见iptables 抗 DDoS 配置）

5.2 系统级加固

# 减少 ICMP 相关放大面（防 ICMP Flood/Smurf）
sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=1

# 忽略伪造源的路由重定向
sysctl -w net.ipv4.conf.all.accept_redirects=0

# 反向路径过滤：源 IP 不是从哪来的回哪去，直接丢（防 IP 伪造入站）
sysctl -w net.ipv4.conf.all.rp_filter=1
sysctl -w net.ipv4.conf.default.rp_filter=1

rp_filter（反向路径过滤）值得一提：它检查「这个包的源 IP，按路由表应该从哪来」——如果包从一个接口进来但源 IP 属于另一个网段，直接丢。对防 IP 伪造有效，但对反射攻击帮助有限（反射器 IP 都是真实的，只是目标是伪造的）。

5.3 快速恢复

攻击结束后的黄金 30 分钟：

# 确认服务状态
systemctl status nginx php-fpm mariadb
# 重启被打崩的服务（连接表满的服务要重启才恢复）
systemctl restart nginx
# 检查日志有没有攻击期间的写入损坏
tail -100 /var/log/nginx/error.log

六、别让自己成为反射器

防护是双向的——检查你的服务器有没有「开放反射服务」：

# 检查常见可被利用服务是否对外
ss -ulnp | grep -E ':(123|53|1900|11211|389|161|19|69)\b'

# DNS 只应答自己的区域（bind9 示例）
# named.conf.options: recursion no;  allow-transfer none;

发现的处理：

• NTP（123）：restrict default nomonitor 或升级新版 NTP
• DNS（53）：关递归解析（recursion no），只做权威应答
• Memcached（11211）：监听 127.0.0.1，别暴露公网（-l 127.0.0.1）
• SSDP（1900）：路由器/IoT 设备的事，关 UPnP
• SNMP（161）：改 community、限制源 IP

这些不只是「做好事」——你的机器被当跳板，带宽也被占，自己也卡。而且真被溯源到，麻烦不止技术层面。

七、防御方案：反射攻击的正确姿势

7.1 有高防的

被反射攻击时什么都不用做——清洗自动触发。你可以在后台看：「UDP Flood 反射，已清洗」。要做的只有确认业务正常 + 复盘攻击量级决定要不要升档（高防选购）。

7.2 没高防的

1. 联系商家：云服务商一般有基础防护（几 G 的免费清洗），超出后黑洞。攻击持续就临时买高防或升级
2. 切 CDN（仅 HTTP 业务）：域名切到 CDN，反射流量打 CDN 节点去（CDN 防护）
3. 换 IP：NAT 型换 IP 成本低——反射攻击是针对 IP 的，换了就好。但攻击者可能再打过来（知道你域名）
4. 临时关服务：关掉接受流量的服务，等攻击过去——游戏服用这招前先 saveworld

7.3 长期方案

反射攻击是「量大管饱」的廉价攻击，会长期存在。稳定业务迟早会遇到，提前准备：

• 网站：高防 CDN + 源站隐藏，成本可控
• 游戏服：游戏高防 + 独享 IP（游戏高防篇）
• 源站 NAT 型内网化，公网只留清洗入口

八、小结

反射放大是「攻击者花 1 块、你挨 50 块」的不对称攻击，核心利用互联网上海量未加固的开放服务（SSDP/DNS/NTP）。它的克星只有一个：机房级流量清洗——在反射流量到达你的链路之前识别丢弃。服务器上能做的很有限：关闭自己的开放服务（别当跳板）、收紧 UDP 暴露面、攻击后快速恢复。判断挨了哪种打，记住一个特征：源 IP 铺满全网 + 源端口集中在几个服务端口 = 反射攻击，别犹豫，上高防。

相关阅读：

• DDoS 攻击类型完全图解
• 高防清洗中心工作原理
• SYN Flood 与 TCP 防护专题
• 高防服务器选购指南
• iptables 抗 DDoS 配置模板
• 端口最小化与暴露面收缩

本文由财富云计算整理，我们提供高防服务器、CDN 防护与 NAT 型云服务器，无独立公网 IP 机型价格比独立 IP 省一半以上，被反射攻击需要清洗能力的咨询。更多教程见端口速查表。

延伸阅读

1. 高防误区与避坑清单：25 个坑+下单前必问 14 问+到货验货流程
2. DNS 攻击防护专题：劫持、隧道、投毒、放大四类攻击与 DNSSEC
3. 电商大促防攻击预案：T-14 到当天的分级响应与降级开关
4. 源站真实 IP 隐藏完全指南：六大暴露面排查+NAT 型终极方案
5. 日志分析找攻击源：Nginx 日志三维度分析法与证据固定
6. 攻击应急响应手册：六阶段响应流程，从确认到复盘的照做清单
7. iptables 抗 DDoS 配置模板：状态过滤+SYN 防护+防扫描+游戏服版
8. OpenResty Lua 自研 WAF：动态限流+攻击特征检测+Redis 黑名单

更多阅读

1. 上一篇：DDoS 攻击类型完全图解：三层攻击体系与防御手段对照表
2. 下一篇：SYN Flood 与 TCP 防护专题：从三次握手到 SYN Cookie 完全拆解