应启用默认网络隔离、配置IP/端口白名单、部署DDoS高防IP、集成WAF策略及K8s NetworkPolicy五重防护。具体包括禁用容器网络、限定访问IP与端口、前置高防IP清洗流量、WAF拦截异常HTTP请求、NetworkPolicy限制Pod通信。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
如果您正在运行Hermes Agent容器，但面临来自外部的大流量请求冲击导致服务响应迟缓或中断，则可能是遭受了针对其暴露端口或API接口的DDoS攻击。以下是防止对Hermes Agent的DDoS攻击并完成DDoS防护部署的具体操作路径：
一、启用默认网络隔离策略
通过禁用容器默认网络访问能力，从根本上限制攻击面，避免Hermes Agent在非必要场景下暴露于公网流量中。该策略适用于仅需本地调用或内部服务通信的部署模式。
1、定位Hermes Agent的Docker环境配置文件tools/environments/docker.py。
2、确认resource_args.append("--network=none")语句处于生效状态，且未被注释或覆盖。
3、重启Hermes Agent容器，验证其网络命名空间是否为空：执行docker exec -it <container_id> ip addr，输出应无eth0等网络接口。
二、配置入站流量白名单控制
在必须开放网络访问的前提下，通过环境变量限定可连接的IP地址段与端口范围，实现最小化入站授权，防止泛洪类攻击直达应用层。
1、启动容器时显式传入ALLOWED_IPS环境变量，例如：-e ALLOWED_IPS="172.16.0.0/12,10.200.0.0/16"。
2、同步指定ALLOWED_PORTS，仅开放业务必需端口，例如：-e ALLOWED_PORTS="8080,9090"。
3、验证规则生效：从非白名单IP发起curl请求至Agent暴露端口，应返回连接拒绝或超时；白名单内IP可正常通信。
三、部署DDoS高防IP代理层
将Hermes Agent的对外服务入口前置至DDoS高防IP，使所有公网流量经清洗系统过滤后再转发至源站，隐藏真实容器IP并吸收攻击流量。
1、在云服务商控制台申请DDoS高防实例，并绑定独立高防IP。
2、修改DNS解析记录，将原域名CNAME指向高防IP提供的调度域名。
3、在高防控制台配置七层转发规则，目标服务器填写Hermes Agent所在宿主机的公网IP及对应端口（如8080）。
4、开启HTTP Flood防护开关，并设置清洗阈值为当前业务QPS峰值的1.5倍。
四、集成Web应用防火墙（WAF）策略
针对以HTTP(S)协议发起的应用层DDoS（如CC攻击），利用WAF对请求头、URI、频率等维度实施精细化识别与拦截，阻断恶意会话。
1、在WAF控制台创建防护域名，接入方式选择CNAME，指向高防IP提供的调度域名。
2、进入CC防护模块，启用“精准防护”功能。
3、新建规则，设置条件组合：URI包含"/api/v1/execute"且User-Agent为空或匹配正则^Mozilla/.*$以外的异常指纹。
4、对命中规则的请求执行人机校验挑战，校验失败则丢弃连接。
五、启用容器网络策略（NetworkPolicy）
在Kubernetes环境中，通过声明式NetworkPolicy资源限制Pod间通信行为，防止横向扩散型DDoS流量穿透集群网络。
1、编写YAML文件定义Ingress规则，仅允许来自特定Label标识的Ingress Controller Pod访问Hermes Agent Pod。
2、配置egress规则，禁止Hermes Agent Pod主动连接除DNS服务（53端口）和日志上报端点外的任意外部地址。
3、应用策略：kubectl apply -f hermes-agent-network-policy.yaml。
4、验证策略效果：使用busybox Pod尝试telnet至Hermes Agent非授权端口，应显示连接超时或拒绝。
