# UDP防御策略配置

针对UDP服务的防御策略包括阻断、限流和防御。

- 阻断

  将UDP报文全部丢弃。

- 限流

  当UDP类型的攻击报文没有特征时，则只能通过限流进行防御。

  - UDP限流：将到目的IP地址的所有UDP报文的流量限制在“带宽阈值”之内。

  - UDP分片限流：将到目的IP地址的UDP分片报文的流量限制在“带宽阈值”之内。

  - UDP新建会话限速：将每秒到目的IP地址的所有新建UDP会话的速率限制在“限速阈值”之内。

  建议通过基线学习配置“带宽阈值”，具体请参见配置基线学习任务。

  - 当存在UDP业务时，正常业务会受到影响。
  - UDP限流，不会对DNS类型的报文进行限速。

- 防御

  UDP防御参数请参见表1。

  表1 配置UDP攻击防御
  参数 | 说明 | 取值建议
  --- | --- | ---
  UDP异常报文防御 | 包速率阈值 | 当UDP异常报文的速率大于“包速率阈值”时，将所有UDP异常报文全部丢弃。 | 缺省值为1000pps。
  UDP Flood指纹防御 | 带宽阈值 | 当UDP报文速率达到告警阈值，启动UDP载荷检查功能，将载荷异常的UDP报文进行丢弃。 | 缺省值为50Mbps。
  UDP分片攻击防御 | 带宽阈值 | 当UDP分片报文速率达到告警阈值，启动UDP载荷检查功能，将载荷异常的UDP报文进行丢弃。 | 缺省值为50Mbps。
  UDP行为分析 | 时间间隔 | 支持配置UDP行为分析的时间间隔。 当限流中的“UDP限流”和“UDP分片限流”和防御中的“UDP异常报文防御”、“UDP Flood指纹防御”和“UDP分片攻击防御”中至少有一个启动防御流程之后，“UDP行为分析”功能才会生效。 | 缺省值为6s。

父主题： 配置防护对象防御策略（AntiDDoS）

版权所有 © 华为技术有限公司