DDoS防护策略从流量清洗到黑洞路由的落地实践

DDoS防护的核心逻辑就是三件事：识别攻击流量、清洗恶意数据包、实在扛不住就把流量导向黑洞。从流量清洗到黑洞路由，这不是两个独立的技术方案，而是一套从"尽力保"到"保核心"的分级响应体系。企业落地实践中，真正有效的防护策略一定是分层部署、动态切换的，单一手段根本扛不住现在动辄Tbps级别的攻击。下面我把每一层的具体做法、适用场景和坑都讲透。

做防护之前必须分清攻击类型，否则清洗策略全白搭。目前主流DDoS攻击分三大类：第一是容量型攻击，比如UDP Flood、ICMP Flood，直接把带宽打满，这种最粗暴但也最容易识别；第二是协议型攻击，比如SYN Flood、Ping of Death，利用协议栈漏洞耗尽服务器资源；第三是应用层攻击，比如HTTP Flood、慢速攻击（Slowloris），模拟正常用户行为，最难防。不同类型对应不同的清洗策略，容量型靠流量清洗，协议型靠状态检测，应用层靠行为分析，三者缺一不可。

流量清洗是DDoS防护的第一道防线，核心原理是把流量牵引到清洗中心，通过算法过滤掉恶意包，再把干净流量回注到源站。落地实践中有两种主流架构：本地清洗和云端清洗。本地清洗适合有自建机房的中大型企业，在网络出口处部署清洗设备，比如基于FPGA的硬件清洗盒或者专用清洗服务器，优点是延迟低、可控性强，缺点是成本高、清洗容量有限。云端清洗适合中小企业，把流量牵引到云厂商的高防节点，按需付费，弹性扩容，但回注延迟会增加5-20毫秒。

具体到清洗策略的配置，关键参数有三个：第一是触发阈值，一般建议把清洗阈值设为正常峰值的1.5到2倍，太低会误杀正常流量，太高会漏掉攻击；第二是清洗算法，常用的有基于源IP统计的频率检测、基于包特征的正则匹配、基于流量行为的机器学习模型，建议三种组合使用；第三是回注策略，清洗后的流量要分优先级回注，核心业务走主链路，非关键业务走备用链路。下面是一个典型的基于iptables的本地流量牵引配置示例：

# 将入站流量牵引到清洗设备（假设清洗设备IP为10.0.0.100）
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 80 -j DNAT --to-destination 10.0.0.100:80
iptables -t nat -A PREROUTING -i eth0 -p tcp --dport 443 -j DNAT --to-destination 10.0.0.100:443
# 清洗完成后回注到源站
iptables -t nat -A POSTROUTING -o eth1 -j MASQUERADE

需要特别提醒的是，流量清洗不是万能的。当攻击流量超过清洗设备的处理能力时，清洗设备本身会成为瓶颈，这时候就必须启动下一级策略——黑洞路由。

黑洞路由（Blackhole Routing）的本质是把攻击流量直接丢弃，不做任何清洗，目的是保护上游网络和核心链路不被打瘫。很多人以为黑洞路由是"放弃治疗"，其实它是一种战略性撤退。适用场景非常明确：攻击流量已经超过清洗能力的80%以上、源站已经完全不可用、继续扛下去会影响整个机房其他租户。这时候与其让所有人一起死，不如牺牲被攻击的目标保全大局。

黑洞路由的落地有两种方式：一种是在路由器上配置指向null0接口的静态路由，把目标IP的流量全部丢弃；另一种是通过BGP协议向运营商发布黑洞路由，让流量在运营商层面就被丢弃，减轻本地压力。具体配置示例如下：

# 在Cisco路由器上配置黑洞路由
ip route 203.0.113.0 255.255.255.0 Null0
# 通过BGP发布黑洞路由（AS 65001为本地AS）
router bgp 65001
 address-family ipv4 unicast
  network 203.0.113.0/24
 exit-address-family

但黑洞路由有个致命问题：它是"一刀切"的，正常用户和攻击流量一起被丢弃。所以实践中更推荐用"近源黑洞"（Near-Source Blackhole），只在离攻击源最近的节点丢弃，减少对正常用户的影响。另外，黑洞路由必须设置自动恢复机制，比如每隔5分钟检测一次攻击是否结束，一旦流量恢复正常就自动撤销黑洞路由，否则业务中断时间会无限延长。

真正落地的DDoS防护不是在清洗和黑洞之间二选一，而是建立一套自动化的分级响应体系。我建议企业按四个等级来设计：L1级是正常监控，只做流量统计和基线建立；L2级是轻度攻击，启动本地限速和简单过滤；L3级是中度攻击，流量牵引到清洗中心进行深度清洗；L4级是重度攻击，超过清洗能力，自动切换到黑洞路由并通知运维团队。每一级的切换阈值、响应时间、通知方式都要提前写进自动化脚本里，不能靠人工判断。

自动化切换的核心是监控指标的选取。建议重点监控以下几个指标：入站带宽利用率、每秒新建连接数、SYN包占比、源IP熵值（熵值越低说明攻击越集中）、TCP重传率。当多个指标同时超过阈值时触发升级，避免单一指标误报。下面是一个基于Python的简单监控判断逻辑示例：

def ddos_level_check(bandwidth_pct, new_conn_rate, syn_ratio, ip_entropy):
    if bandwidth_pct > 70 and new_conn_rate > 10000 and syn_ratio > 0.6:
        return "L3"  # 启动流量清洗
    elif bandwidth_pct > 90 and ip_entropy < 2.0:
        return "L4"  # 启动黑洞路由
    elif bandwidth_pct > 50 and new_conn_rate > 5000:
        return "L2"  # 本地限速
    else:
        return "L1"  # 正常监控

第一，回注链路的带宽必须提前规划。很多企业清洗设备买了，但回注带宽只有1G，清洗完的干净流量还是回不去，等于白洗。建议回注带宽至少是正常业务峰值的1.5倍。第二，DNS不要裸奔。攻击往往先打DNS，把域名解析打瘫，后面的清洗和黑洞全没用。建议使用多DNS服务商、开启DNS缓存、配置DNS速率限制。第三，要做好攻击溯源和证据留存。清洗设备和防火墙的日志至少保留90天，这不仅是运维需要，也是后续向运营商申请协助封堵的依据。

第四，别忽视内网横向防护。外部流量清洗了，但如果攻击者通过一台被控的内网服务器发起内部攻击，外部防护完全无效。内网要做好VLAN隔离、东西向流量监控、服务器层面的SYN Cookie开启。第五，定期做攻防演练。每年至少做两次模拟DDoS攻击的演练，验证清洗策略和黑洞切换是否正常，很多企业的防护策略写在文档里很漂亮，一到实战就发现配置过期、阈值不对、回注链路不通。

小型企业（日活万级以下）：直接用云厂商的高防服务，按量付费，不需要自建清洗设备，重点把DNS防护和CDN缓存做好。中型企业（日活十万到百万级）：本地部署一台中端清洗设备（比如基于DPDK的软件清洗方案），同时接入云端清洗作为弹性补充，配置好自动切换。大型企业（日活百万以上或金融、政务类）：必须自建清洗中心，多地部署，配合运营商BGP黑洞能力，同时要有专门的安全运营团队7×24小时值守。

最后说一个很多人忽略的点：DDoS防护不是一次性投入，而是持续运营。攻击手法在不断进化，从简单的UDP Flood到现在的AI驱动型攻击、反射放大攻击、物联网僵尸网络攻击，防护策略必须跟着迭代。建议每季度更新一次清洗规则库，每半年做一次架构评审，每年做一次全面的防护能力评估。流量清洗和黑洞路由不是对立的，它们是同一套防护体系里的不同武器，关键在于什么时候拔哪把刀。