内容摘要：某天凌晨两点，某电商平台遭遇DDoS攻击，流量峰值冲到1.2Tbps。运维老张盯着屏幕骂了一句，然后打开了防火墙的SYN Flood防护开关——结果攻击流量直接绕过了防火墙，从UDP反射打穿了后端服务

某天凌晨两点，攻击某电商平台遭遇DDoS攻击，防火流量峰值冲到1.2Tbps。开户运维老张盯着屏幕骂了一句，什服然后打开了防火墙的攻击SYN Flood防护开关——结果攻击流量直接绕过了防火墙，从UDP反射打穿了后端服务器。防火这个案例说明一个残酷的开户事实：很多人以为防火墙开了DDoS防护就能高枕无忧，但选错服务等于裸奔。什服

防火墙对付DDoS，攻击核心不是防火“开什么服务”，而是开户“开对什么服务”。TCP SYN Flood攻击占了DDoS总量的什服六成以上，所以SYN Cookie功能必须开启。攻击这个服务会在三次握手时对客户端进行验证，防火不完整的开户握手请求直接丢弃。但要注意，开启SYN Cookie会牺牲部分TCP扩展功能，对正常大流量下载会有轻微影响——你得在业务容忍度之间找平衡。

UDP反射攻击是另一个大坑。攻击者伪造源IP，向DNS、NTP、memcached等服务器发送查询请求，反射流量能放大几十倍。防火墙需要开启“UDP分片包检查”和“源IP验证”服务，但这里有个反直觉的点：单纯丢弃所有UDP分片反而会误伤正常视频流。我见过某游戏公司开了全局UDP限制，结果自家语音聊天延迟飙到800ms，玩家直接弃坑。正确做法是设置分片包速率阈值，超过每秒5万个再丢包。

ICMP洪水攻击现在少了，但别关死这个服务。防火墙的“ICMP速率限制”应该设成每秒200个包以内，同时开启“ICMP重定向包过滤”——这能防止攻击者利用路由器重定向机制劫持你的流量路径。有个金融客户曾把ICMP全禁了，结果内部监控系统用ping检测节点状态时全线报警，排查了三个小时才发现是自己把路堵死了。

应用层DDoS才是真正的噩梦。HTTP Flood攻击每秒钟发出几万个看似正常的GET请求，防火墙的“HTTP请求速率控制”必须开，但阈值设多少有讲究。静态页面可以承受每秒5000次请求，动态接口每秒300次就可能打崩数据库。你得按URL分组设置不同阈值，比如对/login接口限制200次/秒，对/static资源放宽到8000次/秒。还有个偏门服务叫“JS挑战验证”——防火墙给客户端返回一段JavaScript，让它计算一个哈希值再回传，真人浏览器能自动完成，但攻击脚本大多不会解析JS。这个技术对CC攻击效果奇好，但会拦截部分老版本浏览器用户。

别忘了“连接数限制”这个基础服务。每个源IP的并发连接数设成500，超过的直接丢弃新连接。但攻击者会不断换源IP，所以防火墙的“源IP信誉库”功能很关键——它能把已知的恶意IP段自动加入黑名单。这个库需要定期更新，有些商业防火墙的库滞后三小时，这三小时里攻击者早就打完了。

最后说个容易被忽略的点：防火墙的“流量清洗”服务和“黑洞路由”是两码事。黑洞路由是直接把流量丢进虚拟深渊，虽然保住了服务器但用户也访问不了——这是最后手段。流量清洗则会把可疑流量引到清洗设备，过滤后再把干净流量送回源站。但清洗设备本身会成为瓶颈，吞吐量不够时照样瘫。所以真正靠谱的防火墙配置是：SYN Cookie + UDP分片阈值 + HTTP速率分组控制 + JS挑战，再加一条备用线路做紧急切换。

别指望防火墙能挡住所有DDoS。它更像一个分诊台，把明显恶意的流量挡在外面，把可疑流量分流检查，把疑似正常的流量放进去让后端扛。攻击者也在升级，去年有案例用TLS加密的HTTPS请求绕过内容检测，防火墙只能看到加密包，没法判断是不是攻击。这时候你得配合WAF做TLS解密检查，但解密本身又会消耗性能——绕了一圈，又回到“取舍”这个老问题上。