前言

传统DDoS方案大多是检测探针+清洗设备分离部署，架构复杂、联动延迟高、维护成本大。现在很多企业、IDC、运营商都开始采用检测清洗二合一设备，旁挂核心，平时用端口镜像做流量检测，无攻击不影响业务转发；检测到DDoS攻击后，自动通过BGP协议发布32位主机路由，动态把目标IP流量牵引到本机清洗，清洗完成后回注核心。
这套方案兼顾无感知检测、按需引流、旁路零单点故障，是本地自建抗DDoS非常经典的架构。

一、什么是二合一DDoS（检测+清洗一体）

二合一，指同一台抗DDoS设备同时具备两大引擎：

1. 流量检测引擎：接收交换机镜像流量，持续分析流量基线、识别Flood类攻击（SYN、UDP、ICMP、DNS Flood等），只看镜像包，不介入业务转发，平时零转发开销，不会成为网络瓶颈。
2. 流量清洗引擎：触发攻击判定后，开启BGP引流，把真实业务流量牵引过来做报文过滤、会话校验、异常源拦截，干净流量回注回核心交换机。

对比传统分离式架构：不用单独部署Probe探针，减少一台设备、减少联动接口，攻击触发响应更快，运维简单。
重点区分：镜像流量=复制流量，只用来分析；BGP引流=真实业务流量牵引，真正把数据包拉过来清洗。

二、整体工作流程（镜像检测+BGP引流）

整套流程分为常态监控、攻击判定、BGP引流、清洗回注、攻击解除、撤引流6步：

1. 常态阶段：核心交换机配置端口镜像，把出口流量镜像一份发给二合一DDoS设备。设备只分析镜像流量，不改变原有路由，业务流量正常转发。
2. 告警判定：检测引擎比对基线，识别DDoS攻击，达到阈值后自动生成防护任务。
3. BGP自动引流：设备和核心交换机预先建立BGP邻居，攻击触发后，向核心发布目标IP/32主机路由，路由优先级更高，核心会把去往该IP的全部流量转发给DDoS清洗口。
4. 流量清洗：进入设备的真实流量经过防护策略，丢弃攻击报文，保留合法正常流量。
5. 流量回注：清洗后的流量通过回注接口送回核心交换机，转发到后端服务器。

回注常用方式：二层透传、策略路由PBR、VLAN隔离、GRE隧道，推荐独立回注口，避免引流环路。

6. 攻击消退：流量恢复正常，设备自动撤销这条BGP引流路由，流量切回原始转发路径，恢复常态镜像检测模式。

三、组网要点（旁路旁挂部署）

• 部署形态：旁路旁挂，非串联，常态下不在线，天然规避单点故障。
• 接口规划（三接口推荐）

1. 镜像口：只收镜像流量，用于检测，不转发业务包
2. 引流口：接收BGP牵引过来的攻击流量
3. 回注口：清洗完成后，把干净流量回注核心

• BGP邻居：DDoS设备 ↔ 核心交换机/核心路由器建立IBGP邻居，只在攻击时发布/32主机路由，不宣告大段网段，风险可控。
• 防环路关键点：回注流量不能再次匹配引流路由，很多踩坑都出在这里。

四、这套方案的优势

• 常态无侵入：镜像检测，平时不碰业务流量，不增加转发延迟
• 按需动态引流：无攻击不引流，只有被打的IP才牵引，节省清洗带宽
• 架构精简：检测清洗二合一，省去独立探针，减少故障点
• BGP引流兼容性强：华为、H3C、锐捷、迪普等主流厂商交换机都支持
• 可自动回切：攻击消失自动撤路由，无需人工上线下线防护

五、常见坑与排障清单

1. 引流环路：回注流量再次被BGP路由牵引回清洗设备 → 解决：回注走独立VLAN、配置路由过滤、不向回注方向发布引流路由。
2. 镜像流量不全：镜像方向配置错误，只收出方向不收入方向，攻击漏检 → 建议双向镜像。
3. BGP邻居震荡：BGP keepalive、路由策略没做过滤，误发布路由 → 只允许设备发布/32主机路由，禁止发布汇总网段。
4. 基线误报：业务突发流量被判定为攻击 → 提前学习业务基线，配置白名单、动态阈值。
5. 回注不通：回注接口网关、VLAN放通、策略路由缺失，清洗完流量送不回去。

六、适合哪些场景？

• IDC机房自有公网IP、自建出口，不想全部流量长期上清洗
• 企业骨干网、政企专线出口，只需要攻击时才牵引防护
• 预算有限，不想单独采购检测探针，追求轻量化旁路DDoS
• 不接受串联设备带来的单点断网风险

七、和其他引流方案简单对比

• PBR策略路由引流：静态引流，需要提前写死策略，切换慢；
• BGP引流：动态路由牵引，攻击自动上、结束自动撤，更灵活；
• Netflow/sFlow检测：靠流日志采样，适合大网；端口镜像适合精准抓包检测。

八、总结

镜像检测+BGP引流+检测清洗二合一，是本地旁路抗DDoS性价比很高的架构。平时镜像静默监控，遇攻击BGP动态牵引清洗，既规避串联风险，又实现自动化DDoS处置，适合IDC、中小运营商、自建机房落地。
落地重点做好三件事：镜像口流量完整采集、BGP邻居严格路由控制、回注方案防环路。

关于墨者安全
墨者安全致力于安全防护、服务器高防、网络高防、ddos防护、cc防护、dns防护、防劫持、高防服务器、高防dns、网站防护等方面的服务，全网第一款指纹识别技术防火墙，自研的WAF指纹识别架构，提供任意CC和DDoS攻击防御