NTP反射放大攻击原理及防御方案：4步关停放大源

NTP反射放大攻击原理及防御方案可以概括成一句话：放大发生在开放 monlist 的旧版 ntpd 上，防御必须兵分两路——作为可能的放大源立刻自查关停 monlist，作为受害业务承认源站防火墙救不了入口带宽，把承载前移到边缘大带宽节点。2026年NETSCOUT威胁报告再次把UDP反射放大列为超大容量网络层DDoS的主要推手，而NTP正是其中最容易自查自纠的一类。

原理拆解：一个小请求怎么被放大成大流量回给受害者

NTP反射放大攻击的根子在UDP协议无连接、可伪造源IP，加上旧版ntpd默认开放的monlist（Mode 7）管理查询。攻击者伪造受害者的IP，向一台开放monlist的NTP服务器发送一个很小的查询请求，服务器就会把最近向它同步过时间的最多600个客户端IP列表分包返回——回包目的地址是伪造的那个受害者IP。CERT/CC在VU#348126中明确指出，这种单包放大倍数普遍在200倍以上，部分指令理论放大系数可达数千倍。CISA在2014年针对CVE-2013-5211的公告里点名了这套机制。攻击者不必养肉鸡，只要扫到足够的开放NTP服务器就能构成攻击火力。

攻击流量长什么样：源端口、包长与流量曲线的识别特征

如果你正被NTP反射攻击，流量监控上通常有几个特征：大量入向UDP包源端口是123，包长不固定且多为定长响应分片，带宽一秒内被拉满，但连接数几乎不动。很多人描述这种情况时会说“带宽被打满、连接数却没涨”，这正是 UDP 反射的典型表征。因为UDP无连接，攻击流量不走三次握手，所以ss -s里的TCP连接数不会显著上涨，而ifconfig或云监控上的出入向带宽曲线会瞬间拉平。

第一步：判断自己是受害者还是反射源

先看流量方向：带宽被打满的是入向，且源端口是123，你是受害者；运营商或对端投诉你大量出向UDP 123流量，你是反射源。判断自己是不是开放反射源用一条命令：

ntpdc -n -c monlist <你的服务器IP>

返回主机列表数据，说明monlist是开的，有被利用风险；超时或提示no data，说明没开放或已禁用。注意ntpdc由ntp主包（部分发行版为ntp-utils）提供，若提示命令不存在需先安装对应包；新版系统若已改用chrony，则不存在monlist接口，可直接用外网扫描确认123/udp是否响应查询。

第二步：关停放大能力，NTP monlist怎么关闭

不管你是受害者还是单纯怕被拉去当炮灰，按下面三步关停放大源，这是“NTP monlist怎么关闭”的标准答案：

1. 升级ntpd到4.2.7p26或更新版本，新版本默认关闭monlist。
2. 编辑/etc/ntp.conf，在配置里追加：

restrict default kod nomodify notrap nopeer noquery
restrict -6 default kod nomodify notrap nopeer noquery
disable monitor

noquery会挡掉所有查询类指令（包括monlist），disable monitor彻底关掉monlist统计。

3. 重启ntpd服务并复检，重启命令视系统而定：

systemctl restart ntpd    # RHEL/CentOS 系
systemctl restart ntp     # Debian/Ubuntu 系

复检时从另一台外网主机执行 ntpdc -n -c monlist <你的服务器IP>，返回 timed out 或 No data 才算生效，避免只在本机 loopback 验证。

第三步：UDP 123端口要不要封掉，端口侧的取舍边界

运维常问“UDP 123端口要不要封掉”。一刀切封死会让自己的系统没法同步时间，引发时钟漂移，认证和日志时间线全乱。更合理的做法是：只允许上游可信NTP服务器向你发起查询，或者只允许本机主动外联123端口，对入向查询一律noquery。但请记住，源站防火墙丢包无法解决入口链路已被占满的问题——流量在到达你防火墙之前就已经把机房上联带宽打满了，这跟你后面丢不丢包没关系。在讨论UDP Flood防御时，这一点尤其关键。业务真要扛反射峰值，靠的是边缘。

第四步：把承载前移到边缘，源站只保留兜底策略

讲到这里，NTP反射放大攻击原理及防御方案的最后一环就落在链路承载上。为什么源站配置iptables丢包来不及生效？因为反射流量汇聚到你的物理机房入口，上联带宽被瞬时占满，包根本进不到你的服务器就被交换机丢弃了。解决思路是把入口往外推：用Anycast把同一组IP广播到多个地理节点，流量在离攻击源更近的节点就被分散吸收。具体的路由分摊机制可参考 BGP Anycast技术在DDoS清洗中的应用。源站侧只保留访问控制、最小暴露面，以及只对可信来源提供校时服务。

NTP之外的同类反射源排查清单

NTP反射放大攻击原理及防御方案不止覆盖NTP本身，NTP、DNS、CLDAP等UDP服务都可能被滥用，治理思路一致：对外服务只回应必要查询、关闭管理类指令、限制来源。下面是一份自查清单：

同时留意NTP反射攻击和DNS反射攻击的流量差异：NTP放大来自单条管理查询返回固定长度的客户端列表（回包规整、源端口固定123），DNS放大来自响应记录本身体积可变（源端口53、响应长度跨度大），因此监控上一个是“整齐的定长分片洪水”、一个是“长度离散的大包”。两者防御思路都是边缘清洗加源站加固，具体DNS场景可参考 DNS攻击防护。

RockCloud 边缘清洗与全球节点在UDP反射场景中的承载方式

当你的机房链路被一个几百Gbps的NTP反射流打满，DDoS应急响应的第一步就是把流量切到具备大带宽清洗能力的边缘。承载点前移后，源站物理带宽不再是唯一的吸收面，实际可承受的量级取决于接入节点分布与业务带宽规划，需要按业务实测评估。RockCloud的高防CDN和Anycast全球网络把UDP反射流量在多个节点就近分摊吸收，配合边缘清洗剥离非法monlist响应包，同时隐藏源站IP，降低源站被直接锁定的概率。

常见问题

NTP放大倍数有多大？

单包放大普遍在200倍以上，CERT/CC在VU#348126中指出部分NTP指令的理论带宽放大系数可达数千倍。含义是少量请求即可撬动远超自身出口的回程流量，所以攻击者不需要控制大量肉鸡。

关闭monlist会不会影响客户端校时？

不会。monlist是管理查询指令，正常客户端校时走NTP协议本身，跟monlist无关。关闭monlist只是不再对外暴露最近同步过的客户端IP列表，校时功能完全不受影响。

被运营商通知自己的服务器成了NTP反射源，整改材料怎么写？

先按文中命令确认并关闭monlist，附上修复前后的配置对比和复检结果。再说明已升级ntpd版本、添加了noquery和disable monitor，并记录运营商通知时间与整改完成时间。

单机防火墙能不能顶住NTP反射攻击？

顶不住。反射流量在到达服务器前就把机房入口带宽打满了，防火墙看到的只是拥塞后的丢包率上升。正确做法是把流量牵引到边缘大带宽节点清洗，源站只保留兜底访问控制。这正是NTP反射放大攻击原理及防御方案的核心结论。