面對肆虐的網絡病毒與攻擊，高端路由器防火牆功能配合命令列配置可有效減損。本文以 H3C 路由器為例，詳解六大防 DDOS 核心技術配置要點。

核心防護技術矩陣

1. IP 驗證單播反向路徑轉發

ip verify unicast reverse-path

檢查每個經過數據包的源 IP 是否在到達接口的路由表中。無對應路由即丟棄，有效阻斷 Smurf 等基於 IP 偽裝的攻擊，保護網絡免受外部騷擾。

2. 啟用 CEF 交換支撐 Unicast RPF

ip cef
interface <interface>
 ip verify unicast reverse-path

需全局啟用 CEF，接口無需配置為 CEF 交換模式。反向路徑轉發屬輸入端功能，處理接收數據包。

3. 訪問控制列表（ACL）過濾偽造地址

interface xy
 ip access-group 101 in
access-list 101 deny ip 10.0.0.0 0.255.255.255 any
access-list 101 deny ip 192.168.0.0 0.0.255.255 any
access-list 101 deny ip 172.16.0.0 0.15.255.255 any
access-list 101 permit ip any any

阻斷 RFC 1918 私網地址、保留地址作為源 IP 的數據包進入網絡。

4. ISP 邊界路由器入向過濾

access-list 190 permit ip {客戶網段} {掩碼} any
access-list 190 deny ip any any log
interface {內部接口}
 ip access-group 190 in

僅允許客戶網段源地址通信，其餘拒絕並記錄日志。

5. CEF + uRPF 協同優化性能

啟用 CEF 後，uRPF 可大幅縮短 ACL 長度，提升轉發性能。接口無需為 CEF 交換接口即可支撐 uRPF。

6. SYN 速率限制精細調優

show interfaces rate-limit

突變速率超 30% 易丟失合法 SYN 包。依據正常/過載速率觀測，在保障正常通信前提下將閾值設為最小值。

部署檢查清單

• ✅ 邊界路由器啟用 uRPF + CEF
• ✅ 入向 ACL 過濾私網/保留地址
• ✅ ISP 端實施源地址驗證
• ✅ SYN 速率限制基線化配置
• ✅ 定期演練攻擊模擬與應急響應