1.1 目标:保障活动期间稳定可用,抗大流量/攻击。1.2 评估流量:估算并发连接、峰值带宽(Mbits/s)、请求每秒(RPS)。1.3 选择指标:选择“清洗带宽”≥预计峰值的2-3倍、Anycast或BGP多线出口、清洗中心(scrubbing)支持。
2.1 在供应商控制面板选择:地点=Singapore,高防套餐+公网IP+BGP Anycast;2.2 开通清洗:填写白名单IP、业务端口、流量阈值;2.3 配置路由:启用BGP/Anycast并申请浮动IP或弹性IP;2.4 DNS:活动期将域名TTL设为60s并预置备援A记录。
3.1 基础:apt/yum update && reboot;3.2 安装工具:apt install -y nginx fail2ban iptables-persistent tcpdump;3.3 sysctl(/etc/sysctl.conf)加入:net.core.somaxconn=65535; net.ipv4.tcp_tw_reuse=1; net.ipv4.tcp_syncookies=1; net.netfilter.nf_conntrack_max=2000000,执行sysctl -p;3.4 调整文件句柄:/etc/security/limits.conf 增加 nofile 65536。
4.1 Nginx:设置连接/速率限制示例:http { limit_conn_zone $binary_remote_addr zone=addr:10m; limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s; } server{ location / { limit_conn addr 20; limit_req zone=one burst=40 nodelay; } };4.2 WAF:部署ModSecurity或云WAF,导入OWASP规则并拦截异常UA/URI。
5.1 启用CDN:将静态资源交由CDN缓存,origin pull并在CDN端启WAF和限速;5.2 负载均衡:部署L4/L7 LB,监听健康检查,后端组设置最小空闲实例;5.3 备用链路:配置二级数据中心或备用IP并在控制台设置自动切换或脚本化DNS Failover。
6.1 部署监控:Prometheus + Grafana 或供应商监控,采集带宽、连接数、RPS、5xx;6.2 告警阈值:连接数≥70%触发告警,带宽≥80%触发扩容;6.3 日志与抓包:开启nginx access/error日志并定期用tcpdump -w dump.pcap -s 0 'port 80 or port 443'采样。
7.1 规划测试流量:使用内部或第三方压力测试平台,避免外网攻击工具;7.2 常用工具:wrk -t4 -c200 -d60s http://yourdomain/;查看CPU、连接与清洗响应;7.3 演练清单:故障切换、黑名单、切换到清洗中心、放置临时静态页。
8.1 检测:监控触发→确认是否为攻击(请求分布/源IP);8.2 初步处理:启用更严格rate-limit、临时阻断高风险国家IP、切换至清洗策略;8.3 协同:立即联系提供商紧急支持并提供流量样本;8.4 回滚:恢复前先回放日志、逐步放宽限速并保持观察48小时,归档日志。
9.1 答:基于预计峰值带宽与并发估算,选择清洗带宽≥峰值2-3倍;评估是否需要Anycast、BGP多线与Scrubbing中心延迟;结合预算选择按需弹性或包年保底方案。
10.1 答:立即启用上游流量黑洞/策略并联系供应商提升清洗等级;将非核心流量切走CDN缓存或临时下线非必要服务,做最小化公开面;必要时与ISP协同做流量清洗。
11.1 答:基础租用与开通清洗通常数小时到1天可完成,完整调优与压测建议提前7-14天;成本依据清洗带宽和功能从月数百到数万元不等,建议按活动峰值预留预算并签急速响应支持。
