核心思路是分层拦截：先禁用系统对广播的响应，再用iptables丢弃异常广播包，最后限制合法广播频率；需关闭内核icmp广播响应、用iptables丢弃255.255.255.255及子网广播地址流量，并利用-m pkttype精准识别二层广播/组播帧配合limit限速，辅以停用avahi等非必要广播服务。
核心思路是分层拦截：先禁用系统对广播的响应，再用 iptables 丢弃异常广播包，最后限制合法广播频率。不靠“堵死所有广播”，而是精准识别+速率控制，避免误伤 DHCP、ARP 等必要通信。
关闭内核级ICMP广播响应
这是最基础也最关键的一步。Linux 默认可能响应发往 255.255.255.255 或子网广播地址（如 192.168.1.255）的 ping 请求，极易被用于 Smurf 攻击或放大流量。
- 临时生效：运行
sysctl -w net.ipv4.icmp_echo_ignore_broadcasts=1 - 永久生效：在
/etc/sysctl.conf中添加一行net.ipv4.icmp_echo_ignore_broadcasts = 1，然后执行sysctl -p
用iptables丢弃非法广播目标地址
这类规则针对的是 IP 层广播包（目的地址为 255.255.255.255 或子网广播地址），不依赖 MAC 层，适用范围更广。
- 丢弃全局广播：
iptables -A INPUT -d 255.255.255.255 -j DROP - 丢弃本子网广播（请将
192.168.1.255替换为你的实际广播地址）：iptables -A INPUT -d 192.168.1.255 -j DROP - 可选：限制 UDP 广播端口（如 NetBIOS 的 137/138）：
iptables -A INPUT -p udp --dport 137 -d 192.168.1.255 -j DROP
用-pkttype模块识别并限速二层广播与组播
-m pkttype 能真正匹配以太网帧类型，比仅看 IP 地址更底层、更准确。它只作用于 INPUT 链（进本机），适合防御风暴源头直连本机的场景。
- 识别并限速二层广播（如异常 ARP 泛洪）：
iptables -A INPUT -m pkttype --pkt-type broadcast -m limit --limit 30/min --limit-burst 30 -j ACCEPTiptables -A INPUT -m pkttype --pkt-type broadcast -j DROP - 识别并限速二层组播（如 mDNS、LLMNR 异常泛洪）：
iptables -A INPUT -m pkttype --pkt-type multicast -m limit --limit 5/sec --limit-burst 10 -j ACCEPTiptables -A INPUT -m pkttype --pkt-type multicast -j DROP
配套服务与系统优化
防火墙规则只是最后一道防线，源头减量更有效。
- 停用非必要广播服务：
systemctl stop avahi-daemon && systemctl disable avahi-daemon（关闭 mDNS） - 检查 Samba 配置，确保
/etc/samba/smb.conf中未启用browse list = yes或设为broadcast = 0.0.0.0 - 确认网卡未处于混杂模式：
ip link show | grep -A2 "promisc"，若显示PROMISC，用ip link set dev eth0 promisc off关闭 - 启用反向路径过滤（防止 IP 欺骗广播）：
echo 1 > /proc/sys/net/ipv4/conf/all/rp_filter，并写入/etc/sysctl.conf
