四层防护
TCP/UDP 转发的防护规则：按首包内容、TLS 域名、客户端 IP、运营商与国家判定每个新连接，断开、拉黑或放行；另有单 IP 新建速率与区域限制。
能解决什么问题
游戏、数据库、自定义协议这类四层转发没有 HTTP 可以看，常见的七层防护用不上。四层防护按新连接判定：看客户端发出的首包内容、TLS 握手里的域名、客户端地址和来源地区，直接断开或拉黑可疑连接，让攻击挡在转发之前。
怎么开通与启用
四层转发与防护规则随主控提供，社区版和商业版都有。
- 打开“转发列表”，编辑要保护的转发。
- 在“防护规则”里点“添加规则”，填条件（至少一项）并选动作；规则可以上移下移，按顺序判定。
- 按需设置“单 IP 每秒新建连接数”“超限拉黑”和“启用区域限制”。
- 保存后发布；所有节点需要升级到支持四层防护规则的版本，否则发布会被拒绝并列出节点。
主要设置
| 设置 | 说明 |
|---|---|
| 首包 | 前缀（十六进制）、包含文本或正则；TCP 最多等 2.5 秒，取前 4096 字节，UDP 取第一个数据报 |
| SNI | 按 TLS 握手中的域名匹配，支持 *.example.com，只用于 TLS 透传转发，最多 32 个 |
| 客户端 IP | 每行一个 IP 段，可取反（不在其中时命中） |
| 运营商 / IDC、国家 | 按节点上的 IP 情报库查表 |
| 动作 | 断开、断开并拉黑、放行；拉黑可设命中次数和计数窗口 |
| 单 IP 每秒新建连接数 | 本转发所有端口共享，0 为不限；可设突发和超限拉黑时长 |
| 区域限制 | 封禁地区、未知地区允许或阻止 |
| 回源携带客户端 IP | 关闭、PROXY protocol v1、TOA 三选一，只用于 TCP；PROXY protocol 需要源站程序支持，TOA 需要源站安装 TOA 内核模块、应用不用改 |
典型用法
- 游戏端口只接受自己的客户端：按首包前缀放行，其他连接断开。
- TLS 透传的业务只服务自己的域名：按 SNI 放行，其余断开。
- 某段 IDC 地址在扫端口：按运营商 / IDC 条件“断开并拉黑”，命中 3 次才拉黑，减少误伤。
限制与注意事项
- 客户端不先发数据的协议（SSH、MySQL、SMTP 等）等满 2.5 秒后按未命中放行，但首个连接会多等 2.5 秒。
- 匹配 TLS 域名请用 SNI 条件；包含文本和正则只看首包前 4096 字节，放行规则漏命中会落到后面的断开规则。
- 放行只结束规则判定，区域限制与单 IP 新建速率照常生效。
- 节点还没加载已验签的 IP 情报库时，带运营商、IDC、国家条件的发布会被拒绝，库到达后自动发布。
- 拉黑期间该 IP 对本转发的新连接一律拒绝；只属于本转发的端口还会在节点内核层拦截。