最近juniper防火墙一直被几个IP地址攻击，类型 Fragmented traffic！，在策略里封了IP地址也没有用啊

最近juniper防火墙一直被几个IP地址攻击，类型 Fragmented traffic！，在策略里封了IP地址也没有用啊

Fragmented traffic是指碎片流量，一般分为两种情况产生。
一是某包的大小大于设备的MTU，于是必须要分片才能通过，这种属于正常情况。
二是人为制造的碎片，通常用于DOS攻击。
如果有大量这种类型的包通过防火墙，并且不是由网络设备正常产生的话，可以在防火墙上配置拒绝碎片。方法是开启Denial of Service Defense下的ICMP Fragment Protection和Block Fragment Traffic选项，当然日志中会有记录。
Fragmented traffic这种事件封IP地址是没有用的，因为你无法阻止别人主动发起攻击，只能阻止他攻击成功。追问开启了Denial of Service Defense下的ICMP Fragment Protection和Block Fragment Traffic选项，日志就显示 Fragmented traffic!,关闭以上两个选项就是UDP Flood!
一旦数据量很大，就导致防火墙CPU达到90%以上。服务器就当掉了~哪些原因会造成这种攻击呢追答当然不能关闭了，因为你在被攻击。开启以后防火墙自然会有记录。
这种攻击是攻击者主动发起的，不是由于你配置不当产生的。
假设我现在写个程序来对你发起攻击，你唯一能做的事只有被动防御，你没有办法阻止我发动攻击，只能让我攻击失败。于是防火墙会拦截我的攻击，并记录，就是这样。
难道你的意思是想让防火墙既拦截攻击，又不记录到日志中？追问我的意思是想问问怎样防范服务器当机，一旦攻击数据量很大的话，防火墙当掉。连接的服务器就都完蛋了追答我一不清楚攻击手法和频率，二不清楚你的网络架构。所以无法支招。
另外，DOS攻击到达一定量的时候，是无解的。
除了扩大带宽，更换更好性能的设备，网络设备和服务器都做多设备冗余备份，没有其它办法。

防护级别设置到最高，把IP加入黑名单试试。追问是List -untrust吗？追答我用的瑞星个人防火墙，你的我没有用过，抱歉。追问好的。谢谢