面向大型网站的香港抗攻击高防服务器部署完整攻略

1.

总体架构与前期准备

- 明确目标：峰值并发、流量类型（SYN/UDP/HTTP）、SLA；
- 采购建议：选择香港机房带有清洗能力（Scrubbing）的高防机房或云厂商高防IP；申请独立公网IP与BGP多线或Anycast；
- 物料清单：高防带宽、备机、负载均衡器（硬件或云LB）、WAF、CDN、监控系统、专线或VPN回源线路。

2.

网络设计：BGP/Anycast与回源策略

- Anycast架构：在香港与多个节点部署同一IP的Anycast公告，减少单点压力；
- BGP策略：如果自有ASN，公告你/24或/24段到多个上游；没有ASN可使用机房提供的BGP服务；
- 回源策略：清洗后使用TLS回源或GRE隧道回源，避免回源链路被攻击；设置黑洞路由与吸收阈值。

3.

选择高防服务与清洗能力验证

- 对比要点：清洗容量（Tbps）、清洗时延、协同WAF、协议层支持（L3/L4/L7）、SLA条款；
- 合同条款：明确DDoS清洗触发条件、最大保底带宽、溢出保护、故障响应时限；
- 验证方法：要求厂商提供历史案例、演练日志，签署预演时间并记录流量清洗效果。

4.

服务器与操作系统硬化

- 基础加固：关闭不必要端口和服务；更新内核与补丁；启用SELinux/AppArmor；
- 内核参数：sysctl 示例：net.ipv4.tcp_syncookies=1, net.ipv4.ip_local_port_range=1024 65000, net.netfilter.nf_conntrack_max根据内存调整；
- 账户与日志：禁用root远程登录，设置MFA，集中日志（syslog/ELK）并保留备份。

5.

Web层防护：Nginx/WAF/CDN配置

- Nginx限流：limit_conn_zone $binary_remote_addr zone=addr:10m; limit_req_zone $binary_remote_addr zone=req:10m rate=10r/s；
- WAF规则：启用自定义规则阻断异常UA、漏洞扫描签名、速率异常；与高防厂商共享日志进行规则协同；
- CDN策略：静态内容上CDN，开启缓存层并用回源限速保护源站。

6.

网络层防护：iptables/xtables & 验证

- iptables基线：拒绝来自保留/广播段的包，设置SYN速率限制（如使用hashlimit）、启用conntrack超时优化；示例：iptables -A INPUT -p tcp --syn -m hashlimit --hashlimit 200/s --hashlimit-burst 50 --hashlimit-mode srcip --hashlimit-name synlimit -j ACCEPT；
- 黑名单自动化：结合fail2ban或自定义脚本，将恶意IP自动推送到网络黑洞或iptables黑名单；
- 测试工具：使用内部压力测试工具（负载脚本、wrk、siege）并与清洗链路联合检查。

7.

监控、告警与应急演练

- 监控项：流量（pps/bps）、错误率、响应时间、连接数、CPU/内存；使用Prometheus+Grafana或云监控；
- 告警阈值：设置分层告警（流量预警、清洗触发、回源拥堵），并通过短信/电话/工单推送；
- 演练：定期（建议季度）与高防厂商做DDoS演练，验证切换流程、黑洞策略与回源恢复。

8.

自动化与运维脚本示例

- 部署脚本：用Ansible或Salt统一下发iptables、Nginx配置与监控agent；
- 黑洞切换脚本：当流量超过阈值时，自动调用机房API或BGP控制器公告黑洞或调整策略；示例流程：监控触发 -> 调用API -> 更新路由/防护策略 -> 通知运维；
- 备份与回滚：配置自动化备份（配置、证书），并在脚本中实现回滚点。

9.

合规与日志取证

- 日志保留：HTTP访问日志、WAF拦截日志、清洗日志至少保留90天；
- 取证流程：发生攻击时保全pcap、netflow样本并与清洗厂商共享时间戳；必要时走法务程序并保存链路证据。

10.

部署验收清单

- 核对项：Anycast/BGP生效，清洗路径验证，Nginx限流生效，WAF规则上线，监控与告警可用；
- 验收测试：模拟异常流量、模拟源站丢失、切换回源测试并记录SLA指标。

11.

问：为什么要选择香港作为高防部署点？

- 答：香港地理位置对亚太用户延迟低，带宽资源充足且接入国际出口便利，机房成熟，便于处理跨境流量及与中国大陆/海外网络互联。

12.

问：如何判断清洗是否生效？

- 答：通过对比清洗前后流量曲线（pps/bps）、错误率、回源连接成功率，查看清洗设备/厂商提供的清洗报告并验证业务可用性。

13.

问：如果高防被绕过怎么办？

- 答：立即执行应急预案：切换到备份Anycast节点或黑洞路由，升档WAF规则，扩大CDN缓存，同时保留证据交由厂商/法务处理，并在演练后修正策略。

来源：面向大型网站的香港抗攻击高防服务器部署完整攻略