1. 概述:先明确业务需求(带宽峰值、攻击类型、SLA、地理覆盖);2. 指标:关注峰值带宽、清洗阈值、清洗时延、BGP回收机制、计费方式;3. 操作要点:列出当前流量图、发生过的攻击样本和日志,作为与运营商沟通的依据。
2. 优势:PCCW在香港本地骨干、国际出口和对等点多,延迟低,清洗能力透明且经常配套BGP Anycast;劣势:成本通常较高、套餐可能有流量或连接数限制;操作提示:向销售索要最近攻击案例的TTR和赔付条款,要求写入合同。
3. 优势:云厂商提供弹性扩容、按量计费、与云上资源一键联动;劣势:海外线路延迟、跨境流量计费复杂;操作提示:准备跨境链路测试(ping/traceroute)并要求厂商提供清洗节点拓扑图。
4. 步骤:A)获取试用IP/BGP路由和命令行访问;B)从你本地或客户侧发起traceroute、mtr并记录;C)用iperf3测试带宽(iperf3 -c
5. 部署准备:在现有BGP路由器上准备备份路由;切换流程:A)与厂商约定维护窗口;B)将需要保护的IP宣布给目标高防(通过BGP社区或接口),示例命令(BIRD/Quagga): announce route via peer;C)验证路由:使用外网vps做traceroute确认流量走向;D)回退:保留原路由宣布,并记录时间点与路由表快照。
6. 配置要点:A)在服务器端开启基础防护(Linux nftables/iptables):示例:iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 200 -j DROP;B)启用TCP SYN限速:iptables -A INPUT -p tcp --syn -m limit --limit 10/s --limit-burst 20 -j ACCEPT;C)与厂商协调WAF规则白名单和自定义黑名单同步策略。
7. 操作:A)与运营商确认能否接收清洗日志(NetFlow/sFlow或JSON),并开通接口;B)在本地部署ELK/Prometheus+Grafana,配置接收清洗节点日志;C)建立阈值告警(如1分钟内流量突增50%触发),并配置短信/邮件/钉钉告警。
8. 验证步骤:A)在非业务高峰期做压测:使用wrk/ab对HTTP接口做并发压测;B)在清洗激活状态下重复压测,记录响应时间;C)复核路由回收:模拟断路让流量切回,确认无包丢失并记录切换时延。
9. 建议:A)要求把清洗阈值、SLA和赔付写入合同;B)谈判点:是否按峰值计费、是否包含DDoS清洗流量免费额度、是否支持按需弹性扩容;C)保留试用结果作为价格谈判的依据。
10. 步骤:A)流量异常:先做mtr/traceroute和tcpdump查看流向(tcpdump -i eth0 port 80 -w dump.pcap);B)业务不可达:检查BGP路由(show ip bgp),确认是否被宣布到清洗;C)和运营商对接时提供时间戳、pcap、路由表快照。
11. 建议:若重点是低延迟和香港本地网络稳定,优先选PCCW;若需弹性扩容与云上联动、成本敏感,可优先考虑云厂商并配合国际CDN;实际操作中建议做混合策略:边缘用云CDN+云高防,回源走PCCW本地链路。
12. Q:PCCW高防的主要适用场景是什么?
13. A:PCCW适合对香港及亚洲延迟敏感、需要本地骨干和多对等点支持的在线游戏、金融或视频业务;若业务在云上并依赖弹性伸缩,需评估混合方案以兼顾成本和可用性。
14. Q:实际部署PCCW高防后如何验证清洗生效?
15. A:先在试验环境用受控流量回放(hping3或tcpreplay)触发清洗;同时从外部VPS做traceroute确认流量已走向清洗节点;最后做业务压测确认响应时间与丢包在可接受范围内。
16. Q:如果对方清洗影响业务,我该如何快速回退?
17. A:预先在路由器保留原始路由宣布并记录快照,约定回退命令与窗口;出现问题时立即撤销对高防的BGP宣布或恢复原路由,随后分析pcap并与运营商沟通调整清洗策略。