服务器半夜被扫描：USG防火墙攻击防范把异常流量挡在门外

公网服务器一旦暴露，扫描和泛洪攻击几乎是必然到来的背景噪音：SYN Flood 打连接表、UDP Flood 吃带宽、ICMP Flood 干扰正常会话，还有 IP Sweep 这类慢速地址扫描在夜里悄悄摸内网。华为 USG 防火墙自带攻击防范模块，几条命令就能把常见异常流量拦下，不必等到被冲垮再救火。

头一步，在系统视图开启各类攻击防范。

firewall defend syn-flood enable
firewall defend udp-flood enable
firewall defend icmp-flood enable
firewall defend ip-sweep enable

四条分别对应 SYN 泛洪、UDP 泛洪、ICMP 泛洪与地址扫描检测。开启后防火墙对各目的地址的会话速率做基线监控，超过阈值的源会被识别并按策略处置（告警或丢弃），正常访问不受影响。

接着，确认防护覆盖到服务器所在安全域的入接口。 攻击防范在防火墙上全局生效后，会对经过的流量统一检测；把 DMZ 区服务器 mapped 到公网的端口、出口链路两个方向都纳入检测范围，才不会漏掉从内往外打的反常流量。

配置完怎么验。 执行 display firewall defend statistics 查看各类型攻击的检测与丢弃统计；从外部对服务器端口做一次高强度连接测试，统计里应出现 SYN Flood 计数增长，而正常用户访问照常。夜间日志里常见的零星 IP Sweep 告警，往往就是扫描行为的线索，值得顺手核查源地址。

三点提醒：一是阈值用默认值起步，再按业务高峰的真实连接速率微调，阈值过紧会误伤正常突发；二是攻击防范管的是单机可承受的异常流量，出口整体被大流量打满时要配合运营商的流量清洗；三是防护开了不等于一劳永逸，日志里反复出现的攻击源应同步加黑名单。把异常流量挡在服务器门外，业务的可用性才谈得上保障。贵州诚鑫致达科技为客户的防火墙做安全基线部署时，攻击防范与黑名单、日志外发是一组标准动作，有需要的单位可以搜索"诚鑫致达 防火墙加固"了解我们的清单。

（约 900 字）

企业存储选型参考｜贵州诚鑫致达

做全闪高性能数据库与虚拟化，群晖机型参考：FS6400 · FS3410 · FS2500。需要选型建议或上门评估，搜「诚鑫致达」即可找到我们。

服务区域｜贵州诚鑫致达

贵州群晖NAS、贵阳存储、数据备份、信创云盘或 IT 集成服务，可联系贵州诚鑫致达科技，服务范围覆盖贵州全省各市州。重庆企业 NAS 存储、服务器运维与容灾备份方案。