统信UOS需通过关闭UDP反射服务、调优TCP内核参数、前置CDN/WAF隐藏IP、配置iptables限速封禁等四步加固，以防御DDoS攻击。
统信UOS系统本身不直接发起或承受DDoS攻击，但作为服务器或网关节点部署时，可能成为DDoS攻击的跳板、反射源或靶标，需通过内核参数调优、防火墙策略加固、服务暴露面收敛及流量路径控制来阻断常见攻击链路。以下操作全部基于UOS桌面版/专业版v20（1070及以上）和服务器版v23实测有效。
关闭高危反射端口并禁用UDP服务
UDP协议无连接状态，极易被伪造源IP用于反射放大攻击（如DNS、NTP、SSDP反射）。UOS默认启用avahi-daemon（mDNS）、cups-browsed等UDP服务，若未主动使用，必须关闭。
第一步：停止并禁用avahi服务，防止mDNS反射：【sudo systemctl stop avahi-daemon && sudo systemctl disable avahi-daemon】
第二步：检查CUPS打印服务是否启用UDP广播发现功能：【sudo grep -r "BrowseRemoteProtocols" /etc/cups/ 2>/dev/null】，若输出含BrowseRemoteProtocols none则已关闭；否则执行：【echo "BrowseRemoteProtocols none" | sudo tee -a /etc/cups/cups-browsed.conf && sudo systemctl restart cups-browsed】
第三步：确认无其他监听UDP端口的非必要服务：【sudo ss -uln | grep -E ":(19|53|123|161|1900|5353|5355)"】，对匹配行中的PID执行sudo kill -9 [PID]并查其服务名，用systemctl disable [service]永久禁用。
调整内核TCP参数抵御SYN Flood
SYN Flood是DDoS中最基础也最顽固的连接型攻击，UOS默认内核参数对突发SYN请求防护不足，需手动强化。
方法一：启用SYN Cookie并调大半连接队列
执行：【echo "net.ipv4.tcp_syncookies = 1" | sudo tee -a /etc/sysctl.conf && echo "net.ipv4.tcp_max_syn_backlog = 65535" | sudo tee -a /etc/sysctl.conf && sudo sysctl -p】
注意：tcp_syncookies=1必须在tcp_max_syn_backlog调大后生效，否则队列溢出仍会丢弃SYN包。
方法二：缩短SYN超时并限制单IP新建连接速率
执行：【echo "net.ipv4.tcp_synack_retries = 3" | sudo tee -a /etc/sysctl.conf && echo "net.ipv4.tcp_fin_timeout = 30" | sudo tee -a /etc/sysctl.conf && sudo sysctl -p】
再配置iptables限速规则：【sudo iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 50 --connlimit-mask 32 -j DROP】（每IP并发SYN请求超50个即丢弃）
隐藏真实服务IP并前置CDN/WAF
UOS若直接暴露公网IP运行Web、SSH等服务，等于向攻击者敞开靶心。必须切断源站IP与互联网的直连路径。
① 使用Cloudflare免费版：将域名DNS托管至Cloudflare，在DNS设置页将A记录右侧云朵图标点亮（Proxy status: Proxied），此时所有HTTP/HTTPS流量经Cloudflare全球边缘节点过滤，真实UOS服务器IP不再出现在任何DNS响应或TLS握手证书中。
② 若使用阿里云/腾讯云WAF：在控制台添加网站接入，选择“仅限WAF代理访问”，获取CNAME地址后，将域名解析指向该CNAME。随后在UOS本机执行：【sudo ufw allow from 100.64.0.0/10 to any port 80,443 proto tcp】（只允许云厂商WAF回源IP段访问，拒绝全网直连）。
③ 禁用UOS上所有非必要公网监听服务：【sudo ss -tlnp | grep ":80\|:443\|:22"】，对非必需服务（如测试用nginx、sshd调试端口）执行sudo systemctl stop [service] && sudo systemctl disable [service]。
配置iptables实时拦截异常流量
UOS默认启用UFW，但UFW规则粒度粗、无法实现毫秒级动态封禁。需绕过UFW直接操作iptables链，对已识别的攻击源做精准压制。
方法1：封禁高频ICMP请求IP
执行：【sudo iptables -A INPUT -p icmp --icmp-type echo-request -m limit --limit 1/sec --limit-burst 5 -j ACCEPT && sudo iptables -A INPUT -p icmp --icmp-type echo-request -j DROP】（每IP每秒最多5个Ping包，超限即丢弃）
方法2：封禁短时间大量新连接的IP
执行：【sudo iptables -A INPUT -m state --state NEW -m hashlimit --hashlimit-above 60/sec --hashlimit-burst 120 --hashlimit-mode srcip --hashlimit-name tarpit -j DROP】（单IP每秒新建连接超60个立即拉黑）
方法3：保存规则防重启丢失
执行：【sudo iptables-save | sudo tee /etc/iptables/rules.v4】（UOS服务器版）或【sudo netfilter-persistent save】（UOS桌面版若已安装该包）
