一次直播卡顿意外暴露了家庭网络被远程DoS攻击的事实。通过真实设备日志、路由器会话数监控（峰值5.19万）和端口映射路径追踪，完整还原了攻击链路与防御逻辑，为家庭服务器用户提供了可验证、可操作的安全避坑指南。
智能速览
攻击源为单IP美国云服务器（Vultr），非DDoS，属周期性SYN Flood探测型DoS
双层端口映射（光猫+路由器）导致内网测试仪3233端口暴露于公网，成为攻击入口
攻击未耗尽带宽，而是占满运营商分配的TCP连接数上限（约5万条），致使正常业务无法建连
无线电视与有线NAS访问正常，精准定位问题在路由器上行链路而非终端设备
关闭端口映射并重启设备后攻击立即终止，验证了配置即风险的核心结论
家庭用户开通公网IP后，若做内网穿透，必须同步启用防火墙规则或改用WireGuard等加密隧道
精华内容
当直播公屏刷满‘卡了’，后台路由器会话数却稳定停在4.86万——这不是网络拥堵，而是连接资源正被外部流量无声挤占。一次真实的家庭网络攻防现场，揭示了端口映射背后被忽视的脆弱性。
攻击现象
直播期间出现规律性卡顿：稳定约5分钟→突然卡顿→恢复→再卡顿，循环往复。实时监测显示路由器会话数（Session Count）持续维持在4.48万–5.19万区间，CPU占用率最高达100%，但上下行速率波动不大（上行531KB/s、下行562KB/s）。NAS视频播放与手机无线访问均无异常，证明问题不在局域网内部，而在光猫至路由器的上行通路。
攻击原理
攻击者利用互联网扫描工具发现该家庭公网IP的47261端口开放，并通过双层端口映射穿透至内网测试仪的3233端口。每发起一个TCP SYN请求，即占用一条连接会话。实测攻击工具每秒可发数万个SYN包，迅速耗尽运营商对家庭宽带设定的TCP连接数上限（实测阈值约5万条）。由于这些连接均为短时未完成握手的半开连接，路由器需持续维护状态表，最终导致新连接无法建立，直播推流中断。
攻击溯源
通过光猫抓包分析确认攻击源IP为66.42.87.1，归属Vultr Holdings, LLC（美国亚特兰大云服务商），ASN为AS20473。该IP并非僵尸网络节点，而是单台云服务器发起的主动扫描行为。攻击流量特征为高频SYN包（无ACK响应），目的端口固定为3233，且未伴随漏洞利用载荷，属于初级DoS探测，非定向攻击。对比专业DDoS，其攻击规模仅相当于单点压力测试强度。
防御验证
下播后立即执行两项操作：一是禁用光猫上的47261→192.168.1.2:3233端口映射规则；二是重启光猫与路由器。重启后会话数归零，直播恢复稳定，卡顿现象彻底消失。后续测试表明，即使保留路由器端口映射，只要关闭光猫层映射，外部流量即无法抵达内网，证实第一道网关配置是关键防线。
家庭部署警示
当前家庭NAS、软路由、影音服务普遍依赖端口映射实现外网访问，但该做法等同于将内网设备直接暴露在互联网面。一旦服务存在未修复漏洞（如测试仪3233端口无身份认证），攻击者即可绕过所有本地防护。实测显示，家用路由器对5万级并发连接的处理能力远低于企业级设备，连接表溢出即引发全网服务中断。安全替代方案包括：使用WireGuard建立加密隧道、启用UPnP自动防火墙规则、或仅在临时需要时开启映射并设置IP白名单。
这并非危言耸听的理论推演，而是一次发生在普通家庭网络中的真实攻防。它提醒所有自建家庭服务器的用户：公网IP是把双刃剑，便利背后藏着连接资源被劫持的风险。当‘能连上’不再等于‘连得稳’，真正的安全始于对每一处端口映射的审慎权衡。下一个被扫描到的IP，会是谁？
关键评论
很多运营商对连接数无限制，尤其有公网IP时；但视频中未启用爱快软路由等桥接方案，仅靠猫路由直连，性能瓶颈明显。
外部访问建议用WireGuard等加密协议替代端口映射，既避免暴露端口，又降低被扫描概率。
连接数本质是虚拟记录，仅由网关和终端维护；中间交换机不存储连接状态，因此吞吐压力集中在光猫和路由器。
IPv6环境下建议优先使用原生IPv6地址+防火墙策略，比IPv4端口映射更安全且无需NAT穿透。
