文章探讨在 Tbps 级攻击环境下，如何通过预部署可利用端口过滤列表与实时监测手段，显著降低 DDoS 攻击对网络的冲击，并给出运营商可直接应用的访问控制示例。
可利用端口过滤机制：运营商在边界路由器上预先加载访问控制列表，针对 SSDP、memcached、chargen、NTP 等常见反射放大协议的 UDP 端口进行速率限制或直接丢弃。这些列表始终处于激活状态，无需在攻击发生后再动态生成，从而缩短响应时间并减少误判。Job Snijders 在 NANOG 邮件列表公开的 IPv4 与 IPv6 示例分别匹配 udp 123、1900、19、11211 端口，并通过 class‑map 与 policy‑map 实施百分比限速，配置可直接应用于客户接入接口。
配置示例与部署要点：示例使用 class‑map match‑any 引用两个 access‑list，policy‑map 在 ntt‑external‑in 中对匹配流量执行 police rate percent 1，超出即丢弃并重置优先级。接口 Bundle‑Ether19 与 Bundle‑Ether20 均绑定该服务策略，实现对所有入站流量的统一过滤。Barry Green 在 senki.org 提供更多变体，运营商可根据自身业务流量基线调整限速百分比，避免误伤合法 NTP 同步等低量服务。
实时监测与可见性提升：文章将当前防护比作身处迷雾中的城堡，指出单一或多向量攻击难以在事前识别。为穿透迷雾，业界启动多项计划，包括通过僵尸网络渗透与反射器蜜罐实时捕获攻击参数，进而生成攻击特征库供自动化系统调用。这些举措旨在让运营商在攻击发起瞬间掌握向量组合、源端口分布及流量峰值，从而快速调整过滤策略或引导流量至清洗中心。
对网络工程师而言，
原文: APNIC Blog（2018-12-06）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog