ISP 与网络运营商的 DDoS 防护

接入网中的三个重要边界

共享链路与分散目标

针对多个用户地址的攻击，即使没有单一目标在图表中占主导，也可能压垮共享上联。除了逐地址观察，还应检查前缀和上游层面；某个端点流量平稳，并不证明整体路径仍有余量。

用户连接状态与共享源地址

CGNAT 和有状态边缘设备可能在带宽尚未耗尽时承受连接压力。多个正常用户也可能共用一个公网源地址。因此，按源限速需要评估实际业务，不能对所有用户统一施加低阈值。

路由可能由多方负责

自有前缀、客户宣告和服务商分配的地址，可能适用不同的授权及导出规则。添加防护路径前，应明确保护范围、允许的宣告和默认路由预期。

将上游交付与您管理的控制措施结合

受保护的 Transit IP 可以承担网络层角色；兼容的本地过滤可在其后承担独立职责。混合架构仍需明确谁负责引流、过滤和恢复。

1. 1

   观察暴露的路径

   采集相关路由器遥测与接口计数，并注明采样间隔和方向。

2. 2

   交付受保护流量

   验证约定的隧道或物理交接、路由选择、MTU 和剩余交付容量。

3. 3

   维持用户服务

   使用选定的本地 TCP 与有状态模式，检查回程流量和正常用户应用。

以下为部署顺序示例。实际交付服务以报价和验收记录为准。

下单前需要确定的问题

谁有权宣告受保护前缀？

记录 ASN、前缀授权、路由过滤器及允许的传播范围。BGP 会话已建立，并不证明目标路由已被接受。

回程流量能否绕过本地过滤器？

这取决于所选防护模式。启用有状态功能前，应验证实际路由要求；不能仅凭存在多个对等体就认定支持非对称路径。

什么条件可以触发引流？

请区分观察、授权和执行。Peeryx Flow Collector 在流量路径之外工作，使用已公布的获授权 IPv4 /24 引流范围；它不提供网络容量，也不承担串联过滤。

验证接入服务能够承受约定变更

• 启用防护前，记录正常忙时流量、成功用户连接及相关状态计数。
• 在每条交付路径上检查已接受路由、双向流量以及大小不同的传输。
• 协调选定的路径或设备故障测试，记录实际业务恢复，并指定回退负责人。

此部署的常见问题