1. 引言：传统 DDoS 防御的困境
随着网络攻击规模不断攀升，DDoS（分布式拒绝服务）攻击已成为企业在线业务面临的最常见威胁之一。传统防御方案往往把重心放在业务应用层，试图在应用入口处拦截恶意流量。然而，当攻击流量达到数百 Gbps 甚至 Tbps 级别时，业务服务器早已被底层网络洪流冲垮，应用层的防护手段根本来不及生效。
一个更务实的思路是：先清洗底层流量，再守护业务应用。也就是说，把防御重心前移到网络层和传输层，在流量进入业务系统之前完成过滤和清洗，让业务应用只接收干净、合法的请求。
2. 为什么底层清洗更关键
DDoS 攻击的本质是资源耗尽。攻击者通过大量僵尸主机向目标发送海量数据包，消耗目标的带宽、连接表项、CPU 或内存资源。如果这些流量直接打到业务服务器，无论应用层做了多少优化，服务器都会在短时间内瘫痪。
底层流量清洗的核心价值在于：在靠近攻击源或网络入口的位置把恶意流量过滤掉，使进入业务系统的流量始终处于可控范围。具体来说，底层清洗具备以下优势：
- 带宽保护：在骨干网或高防节点处吸收并丢弃攻击流量，避免占用业务出口带宽。
- 资源隔离：清洗集群与业务集群分离部署，攻击流量不会直接冲击业务服务器。
- 协议层过滤：在 TCP/IP 协议栈层面识别并丢弃畸形包、扫描包和反射放大流量。
- 弹性扩展：清洗能力可按需扩容，从容应对突发性大流量攻击。
3. 分层清洗架构设计
一套完整的 DDoS 防御体系应当分层部署，每一层承担不同的清洗职责。下面给出一个典型的分层清洗架构：
整个链路遵循「先底层、后应用」的原则：流量先经过骨干网调度和高防清洗，再进入负载均衡与业务应用；应用层防护（如 WAF）只处理已经通过底层过滤的请求，压力大幅降低。
4. 底层流量清洗的关键技术
4.1 流量调度与牵引
当检测到攻击流量超过阈值时，通过 BGP 路由通告将业务流量牵引至高防清洗节点。清洗节点对流量进行实时分析，过滤掉攻击包后，再把干净流量回注到源站。这一过程对用户透明，业务 IP 无需变更。
4.2 协议栈深度检测
在传输层对数据包进行深度检测，重点识别以下几类异常：
- SYN Flood：通过 SYN Cookie 和源认证机制，识别并丢弃伪造源地址的连接请求。
- UDP Flood：对非业务端口的 UDP 流量直接限速或丢弃，对业务端口进行行为分析。
- ICMP 放大：限制 ICMP 报文速率，过滤来自反射放大源的流量。
- 连接耗尽：通过会话表项监控，及时清理异常半开连接。
4.3 指纹识别与信誉库
清洗节点维护一份攻击源指纹库和 IP 信誉库。对于已知的僵尸网络、扫描器或恶意 IP 段，直接在底层丢弃，不进入后续链路。信誉库需要持续更新，以应对不断变化的攻击源。
5. 业务应用层的协同防护
底层清洗解决了「流量进不来」的问题，但业务应用仍可能面临应用层攻击，例如 CC 攻击、慢速连接攻击和业务逻辑滥用。因此，底层清洗与应用层防护必须协同工作：
- CC 攻击防护：在应用入口处对高频请求进行频率限制和验证码挑战，识别并拦截模拟真人行为的恶意请求。
- 慢速攻击防护：设置合理的读写超时时间，及时断开长时间占用连接的异常会话。
- 业务风控：对登录、下单等敏感接口实施额外的风控策略，防止被自动化工具刷量。
需要强调的是，应用层防护只处理底层清洗后的流量，因此其压力模型与攻击规模解耦，防护效果更加稳定。
6. 实践建议与注意事项
在落地「先清洗底层、再守护应用」的防御体系时，建议关注以下几点：
- 明确业务流量基线：提前梳理正常业务流量的端口、协议和带宽特征，作为清洗策略配置的依据。
- 设置分级触发阈值：为不同层级的防护设置差异化的触发阈值，避免正常业务抖动误触发清洗。
- 保留攻击取证能力：清洗节点应记录攻击流量特征和样本，便于事后溯源和策略优化。
- 定期开展攻防演练：通过模拟攻击验证清洗链路的有效性，确保大流量攻击来临时各环节能够协同响应。
- 关注清洗回注质量：回注链路的带宽和延迟直接影响正常用户访问体验，需要与运营商协同保障。
7. 总结
DDoS 防御的重心正在从「应用层拦截」向「底层流量清洗」转移。先清洗底层流量，再守护业务应用，本质上是一种分层防御思想：让网络层和传输层承担大部分攻击压力，业务应用只处理干净流量。这种架构不仅提升了防御容量上限，也让应用层防护回归到业务逻辑本身，从而构建起更加稳健的纵深防御体系。