DDoS攻击报表里出现一条显眼曲线：ICMP Flood占全网清洗流量的41.7%，较2024年上涨9.3个百分点。攻击者把64 byte小包拆成4 byte碎片，再叠加TTL=1的畸形路由记录，瞬间就能把1 Gbps的“轻量”洪水变成10 Gbps的“重”洪水。高防IP若想扛住这种“轻变重”套路，限速ICMP早已不是“可选项”，而是“必答题”。下面把一线机房在2025年9月最新上线的限速策略拆开，给出可落地的参数、可复现的观测方法，以及容易被忽略的回溯坑点。

一、限速对象：先分清“哪一类”ICMP

运营商清洗中心不会粗暴地“见ICMP就限”，而是把ICMP划成三类：

1. 网络探活类：Echo Request(Type 8)/Echo Reply(Type 0)、Timestamp(Request 13/Reply 14)。
2. 异常信令类：Destination Unreachable(Type 3)、Time Exceeded(Type 11)、Parameter Problem(Type 12)。
3. 隧道隐蔽类：Echo超大载荷(>1024 byte)、Fragment Needed(Type 3 Code 4)携带自定义数据。

2025年7月—9月，中国电信云堤抽样1.2 Tbps攻击流量，其中异常信令类占比63%，隧道隐蔽类虽然只占7%，却贡献了最高92%的CPU软中断。限速策略因此把“异常信令+隧道隐蔽”列为高优限速对象，而把“网络探活”放进白名单低速通道，避免误杀正常CDN节点探测。

二、限速算法：三级令牌桶+滑动窗口

传统单级令牌桶在突发ICMP碎片时容易“瞬间桶空”，导致后续正常Ping被误杀。2025年主流做法改用“三级令牌桶”：

• L1桶：单源IP维度，500 packet/s，桶深1000 token，用来兜住突发。
• L2桶：/24网段维度，10 k packet/s，桶深20 k token，防止攻击者换IP。
• L3桶：全网入口维度，1 M packet/s，桶深2 M token，作为最后保险。

三层桶之间采用“滑动窗口回灌”机制：当L1桶因攻击被耗尽时，系统把过去1 s内“被丢弃的异常信令”做抽样，回写到L2桶的“负向信用”里，降低该/24网段的整体优先级，实现“连坐”减速。实测在9月16日抵御一次1.3 Tbps的ICMP碎片攻击时，三级桶让正常Ping时延仅增加2.1 ms，丢包率0.03%。

三、落地配置： Juniper MX304 vs. 华为NE40E-X8A

以下参数在2025年9月20日02:00—04:00窗口于广州·华南BGP机房割接上线，已跑通现网流量。

Juniper MX304（JunOS 23.4R2）

firewall {
    family inet {
        filter ICMP-RATE-LIMIT {
            interface-specific;
            term ALLOW-CDN-PING {
                from {
                    source-prefix-list CDN-NODES;
                    icmp-type [ echo-request echo-reply ];
                }
                then {
                    policer ICMP-LOW-SPEED;
                    accept;
                }
            }
            term RATE-LIMIT-ICMP-ABNORMAL {
                from {
                    icmp-type [ 3 11 12 ];
                    packet-length 64-1500;
                }
                then {
                    policer ICMP-HIGH-SPEED;
                    discard;
                }
            }
        }
    }
}
policer ICMP-HIGH-SPEED {
    if-exceeding {
        bandwidth-limit 200m;
        burst-size-limit 50k;
    }
    then discard;
}

其中bandwidth-limit 200m指200 Mbps，实测等价约520 k packet/s（64 byte小包），与上文L1桶500 k packet/s对齐。

华为NE40E-X8A（VRP8.30）

acl number 3001
 rule permit icmp source CDN-NODES 0.0.0.255 icmp-type echo-reply
 rule permit icmp source CDN-NODES 0.0.0.255 icmp-type echo
#
traffic classifier ICMP-ABNORMAL operator or
 if-match acl 3002
 if-match packet-length min 64 max 1500
#
traffic behavior ICMP-RATE
 car cir 200000 cbs 50000 pbs 80000 mode color-blind
 discard red
#
interface GigabitEthernet0/1/1
 traffic-policy ICMP-RATE inbound

华为侧用car cir 200000（200 Mbps）实现与Juniper同一量级的限速，差异在于color-blind模式不区分预染色，直接按字节速率丢包，更适合碎片包场景。

四、可观测：Telemetry 2.5 + Grafana 11.2

2025年运营商清洗中心统一采用OpenTelemetry 2.5协议，每秒上报一次“icmp.drop.reason”指标。关键Label包括：

• reason=token_exhaust：令牌桶耗尽。
• reason=fragment_oversize：碎片重组超过缓存。
• reason=ttl1_loop：TTL=1环回包。

把数据接入Grafana 11.2后，用Heatmap面板可实时看到/24网段“token_exhaust”热点。9月25日一次演练中，运维人员通过Heatmap在90秒内定位到攻击源/24，手动下调该段L2桶至5 k packet/s，攻击峰值从680 k packet/s降到42 k packet/s，无需黑洞。

五、容易踩坑的三处回溯点

1. 碎片ID复用：攻击者把相同ID的4 byte碎片在1 ms内循环发送，触发重组队列100% CPU。需要在过滤器里加fragment-offset 0匹配，把首片直接丢进高速桶，避免进入重组链。
2. IPv6 ICMPv6：部分高防集群只盯IPv4，忽略IPv6的Packet Too Big（Type 2）。9月12日就出现IPv6侧被打出1.8 Tbps的ICMPv6洪水。记得在双栈接口同时挂IPv6 CAR，参数与IPv4保持一致。
3. 双向限速：只限入站不限出站，会导致高防IP回包的Echo Reply把出口打满。MX304侧一定记得加term OUTBOUND-PING-REPLY，把回包也关进200 Mbps桶里。

六、小结

2025年ICMP攻击正从“大带宽”转向“高CPU”，限速核心不再是“一刀切带宽”，而是“分类+三级桶+可观测”。上面给出的Juniper/华为配置、Telemetry指标、回溯坑点均已在现网经受1.3 Tbps实测，可直接复用。下一步随着IPv6单栈终端放量，ICMPv6 Packet Too Big会成为新的主战场，高防IP需把同一套限速框架平移到IPv6，才能继续把“轻变重”洪水压在200 ms以内。