当网站遭遇DDoS攻击时，流量清洗是抵御大流量冲击的核心手段。但很多运维人员只知“清洗”二字，却对流量如何被牵引、清洗后如何回注、以及不同层级的防护有何差异缺乏清晰认知。本文以典型攻击场景为线索，结合AWS官方文档，一步步拆解DDoS攻击流量清洗的完整链路。
场景一：网络层大流量攻击——清洗中心如何介入
假设你的源站IP暴露，攻击者发起SYN Flood或UDP Flood，每秒数百万包涌入。此时，流量清洗中心（如云高防、AWS Shield）会通过BGP路由通告或DNS引流，将原本指向源站的流量牵引至清洗节点。AWS Shield Standard 默认在网络层（L3/L4）自动检测并缓解攻击，无需用户干预。AWS官方文档指出，Shield Standard自动为所有AWS资源提供L3/L4保护，而Shield Advanced则提供更精细的控制和更大容量。
流量清洗的两个关键动作：检测与牵引
清洗并非盲目丢弃所有流量。第一步是检测：通过流量特征分析（如源IP分布、包速率、连接数）判断是否发生攻击。第二步是牵引：将可疑流量通过BGP Anycast或DNS解析导向清洗集群。这里需要权衡：牵引范围过大会影响正常访问，过小则无法缓解攻击。AWS的做法是，对于L3/L4攻击自动缓解，而L7攻击则默认不自动缓解，以免误伤合法用户。AWS事件响应指南明确说明，默认不自动应用L7缓解措施，以避免意外阻断有效用户流量。
清洗过程中的流量过滤策略
清洗节点收到流量后，会执行多层过滤：
- 协议栈校验：丢弃不完整的TCP握手、非法标志位组合。
- 速率限制：对单个源IP或IP段的连接速率进行限制，超过阈值则丢弃或限速。
- 行为分析：基于机器学习识别异常流量模式，例如大量短连接请求。
这些策略需要不断调整，因为攻击流量可能伪装成正常请求。例如，慢速攻击利用低速率长连接占用资源，此时需要结合连接超时机制（参考站内文章《慢速攻击是什么？CDN如何用连接超时搞定Slowloris和慢速POST？》）。
引流回注：清洗后的流量如何返回源站
清洗完成后，干净的流量需要回注到源站。回注方式主要有两种：
1. 直接回注
清洗节点将过滤后的流量通过专线或隧道直接转发至源站IP。这种方式延迟低，但要求源站IP不暴露，否则攻击者可直接绕过清洗节点攻击源站。
2. 代理回注
清洗节点作为反向代理，将清洗后的流量通过HTTP/HTTPS转发至源站。这种方式隐藏了源站IP，但增加了延迟，且对源站性能有一定要求。
回注过程中需注意：如果源站无法处理清洗后的流量，可能导致连接重置或响应缓慢。因此，回注前应评估源站容量，并考虑使用弹性伸缩。
不同层级的防护策略对比：L3/L4 vs L7
AWS将防护分为网络层和传输层（L3/L4）与应用层（L7）。L3/L4攻击（如SYN Flood、UDP Flood）通常由基础设施自动缓解，而L7攻击（如HTTP Flood）需要更精细的规则。AWS Shield Advanced在检测到L3/L4攻击时，会自动将VPC网络ACL部署到AWS网络边缘，提供更大规模的防护。但对于L7攻击，AWS默认仅通过CloudWatch告警通知，由用户自行决定是否启用WAF规则。
这种策略体现了防护中的关键取舍：自动缓解可能误伤正常流量，而人工介入则可能响应迟缓。在实际部署中，你可以结合高防CDN（如ZuCDN）的BGP Anycast技术，将流量分散到全球节点，再在边缘进行清洗。参考站内文章《从DDoS攻击到全球清洗：一文讲透高防CDN的BGP Anycast原理》。
失败条件与常见误区
即使有清洗机制，攻击仍可能造成影响。常见失败条件包括：
- 源站IP暴露：攻击者直接攻击源站IP，绕过清洗节点。此时需隐藏源站IP，仅允许清洗节点回注流量。
- 清洗容量不足：攻击流量超过清洗节点的处理能力，导致服务中断。这需要选择足够容量的防护方案。
- 误杀正常流量：清洗规则过于严格，导致正常用户被阻断。因此，L7攻击的缓解需要谨慎配置。
常见误区是认为只要接入清洗就能高枕无忧。实际上，清洗只是防护的一环，还需要配合网络架构优化（如负载均衡）、源站加固和监控告警。
实操建议：如何评估你的清洗方案
选择清洗方案时，建议从以下维度评估：
- 攻击响应时间：检测到攻击后多久开始缓解？自动还是手动？
- 清洗能力上限：最大可抵御多少带宽和包速率？
- 误报率：清洗规则是否容易误伤正常用户？
- 回注方式：是否支持多种回注模式？源站是否安全？
以AWS为例，Shield Standard适合基础防护，Shield Advanced则提供更全面的保护，但需要额外成本。你可以根据业务的重要性和预算做出权衡。
参考资料
延伸阅读