攻击并不是从一张工单开始的。往往是曲线先上升，链路逐渐占满，随后客户打来电话。对于自行运营网络的团队，测量数据通常早已具备。缺少的环节，是将这些数据转化为把流量引向外部防护的决策。
Peeryx Flow Collector 补上了这一环。它部署在您的网络中，读取路由器导出的数据，监测发往各个 /24 的流量，并按您设定的规则触发向 Peeryx 的引流。软件即日起可免费下载。
面向自行管理路由的团队
这款采集软件适合管理自身 BGP 通告、希望在非攻击期间继续使用原有运营商的网络运营商、托管服务商、数据中心和企业。已有 sFlow 或 NetStream，但尚未与防护引流联动的网络也适用。
安装是可选的。如果流量已持续经过 Peeryx，或者现有检测系统已经完成集成，就不必安装。软件下载免费；Peeryx 网络服务与防护仍按您的服务方案提供。
日常继续使用原有运营商。测量数据表明有需要时，再启用 Peeryx。
在本地测量，在 Peeryx 清洗
路由器将测量数据发送给采集软件，由它估算每个前缀的带宽和包速率。它不位于客户业务流量的转发路径上。因此，数十 Gbit/s 的攻击流量不会经过采集虚拟机的网口。
确认超限后，系统先通过 Peeryx 通告 /24，验证通告与清洗后流量的回送路径，再撤回 BGP 策略覆盖的其他通告。恢复时，先重新向原有运营商通告，随后撤回 Peeryx 通告。这一流程必须结合完整拓扑验证，包括其他独立起源同一前缀的路由器。
能够说明理由的阈值
TCP、UDP、ICMP、GRE、IPIP 和 Other 可分别以包/秒或 Gbit/s 设置阈值。L3 总流量规则统计所有协议的 IPv4 流量总和。Other 指不属于前述五种协议的流量。软件还提供 TCP 标志位的高级设置。
任一启用的规则都可能触发引流。对于某个前缀，可以用专属的总带宽例外规则替代通用阈值。在客户中心准备设置后，将导出的配置文件应用到采集软件。阈值应参考正常业务高峰：流量高本身并不能证明存在攻击。
完整引流确认后，在 Peeryx 的最短保持时间可设为 20 分钟至 7 天。攻击持续时会延长防护。恢复需要新鲜的测量数据确认攻击已经结束；若回送路径或监测出现故障，为维持连通性，可能需要提前恢复原路由。
需要的是 Linux 虚拟机，而非清洗服务器
当前版本支持使用 systemd 的 Debian 12、Debian 13 和 Ubuntu Server 24.04 LTS，架构为 x86-64 或 ARM64。建议起步配置：2 个 CPU 核心、8 GB 内存、20 GB 可用磁盘和 1 Gbit/s 网口。小型 Xeon 服务器或同等虚拟机可作为起点，实际容量取决于导出数据量。
支持 sFlow v5、NetFlow/NetStream v5、v9，以及 IPv4 IPFIX。安装指南详细说明端口、采样比例和数据时效要求。过期数据，或在多个接口重复统计同一流量，都会影响检测可靠性。
新前缀随网络变化自动发现
采集软件通过 BGP 学习路由器通告的公网 IPv4 /24，但范围限定在服务已授权的地址段内。软件并没有固定的十个前缀列表。范围之外的新分配地址必须先获得授权，路由器策略也要允许其接入保护。
当前版本以 /24 为单位，不会自动拆分更大的通告，也尚不控制 IPv6 引流。发现前缀与验证其防护路径，是两个不同的步骤。
先观察，再启用
在客户中心打开“服务 → Peeryx Flow Collector”，选择相应网络服务。指南将带您完成 Linux 准备、安装、服务配对以及路由器数据导出配置。拥有符合条件的网络服务的账户才会显示此入口。
首次启动处于观察模式。请检查测量数据、调整阈值，并与我们的团队验证 Peeryx 通告、其他运营商撤回、清洗流量回送及正常路由恢复。完成这些检查后，再启用自动引流。