内核封禁与连接防护
在节点内核层限制连接：单 IP 并发与新建速率、空连接、TCP 异形包与无效连接、CC 封禁同步到内核；节点自动选用 XDP 或 nftables。
能解决什么问题
大量空连接、超高频新建连接、伪造标志位的 TCP 包，到 OpenResty 再处理已经太晚，会占满节点的连接和 CPU。连接与 DDoS 防护把这些限制放在节点内核里执行：超限的客户端直接在内核层被丢弃或封禁，网站和四层转发的其他防护照常工作。
节点的四层内核过滤在安装和每次 Agent 启动时自动检测，按原生 XDP、通用 XDP、nftables 的顺序选用；不支持 XDP 的节点使用 nftables。节点列表的“XDP 过滤”列显示每台节点用的是哪一种。
怎么开通与启用
连接防护随主控提供，社区版和商业版都有，由平台管理员设置，作用于全部节点。
- 打开“节点管理 → 连接防护”，按需填写各项（填 0 表示关闭该项；全部关闭时节点不安装防护规则）。
- 点“保存”生成草稿，点“检查”确认没有问题，再点“启用并下发”，立即下发到全部节点。
- 页面顶部的“当前修订”显示已启用、已检查待启用或草稿。
网站级的“防火墙动作策略”（“防火墙配置 → 防火墙动作策略”）可以在攻击超过触发阈值时自动切到高负载动作，由节点内核拦截指定网段，回落后按恢复窗口自动解除。
主要设置
| 设置 | 说明 |
|---|---|
| 单客户端限制 | 并发连接上限、每秒 / 每分钟新建连接上限、超速封禁时长 |
| 端口限制 | 单端口总并发连接上限 |
| 空连接检测 | 连接建立后在判定时间内没收到任何数据即为空连接，窗口内达到次数就封禁并断开 |
| TCP 异形包过滤 | NULL、Xmas、SYN+FIN、SYN+RST 默认开启；孤立 FIN、ALL 默认关闭 |
| 丢弃无效连接 | 丢弃内核判定为无效的报文，例如不属于任何连接的 ACK/RST |
| CC 临时封禁同步到内核 | 不同步 / 只封该网站独占的端口 / 封该网站全部端口 |
| 白名单 | 每行一个地址或网段；所有节点自身的地址自动豁免 |
典型用法
- 被空连接拖垮：开空连接检测，同一客户端在窗口内多次空连接即封禁。
- 端口被扫描：保持异形包过滤的默认类型，丢弃扫描常用的非法标志组合。
- CC 攻击换着端口打：把 CC 临时封禁同步到内核，让被封的 IP 在内核层就被挡住。
限制与注意事项
- 计数单位是客户端：IPv4 地址或 IPv6 的 /64。
- UDP（含 HTTP/3）不在这里限制；四层 UDP 转发用转发规则自身的限速。
- “封该网站全部端口”在共享端口上会同时影响同端口的其他网站。
- XDP 需要内核 5.9 及以上；XDP 程序加载失败时自动回落到 nftables，网站和其他防护不受影响。
- 防火墙动作策略的高负载动作只在租户自有节点上执行。