混合流量DDoS攻击防护多层防御架构

混合流量DDoS攻击之所以难防，核心在于它同时利用多种协议和不同层级的请求耗尽目标资源。攻击者可能在一秒内发出数十万次UDP洪水打满带宽，同时又用慢速HTTP请求占满服务器连接池，再配合TCP SYN Flood消耗防火墙状态表。单一防护设备往往只能识别某一类特征，当攻击形态快速切换时，规则匹配就会失效。要解决这个问题，不能靠堆叠设备，而是要把检测、清洗、限速和源验证拆成多个协同层次，每一层只处理自己能高效判定的流量类型，层与层之间通过策略联动形成闭环。

边界路由器是整个架构中最靠近上游运营商的位置，也是第一道可以丢弃流量的节点。混合流量攻击爆发时，最先饱和的通常是入站带宽。此时如果等待深度检测设备分析完再响应，链路可能已经拥塞。边界层需要配置基于目的地址的黑洞路由，当监控系统发现某个IP的入站流量超过预设阈值，例如超过正常峰值的5倍且持续30秒，就通过BGP向运营商宣告该IP的丢弃路由。这样上游网络会直接丢弃发往该地址的流量，保护整个网段不被拖垮。但黑洞路由的代价是正常用户也无法访问该IP，所以它只能作为临时止血手段，必须配合后续层次快速接管流量。

更精细的做法是在边界路由器上启用基于源地址的限速和基于包长度的过滤。很多混合攻击中的UDP Flood会使用固定大小的数据包，例如512字节或1400字节，边界路由器可以通过简单的ACL匹配包长度和协议类型，直接丢弃明显异常的流量，而不影响正常TCP握手。这种过滤不依赖深度检测，转发芯片就能完成，适合在带宽饱和前削减大量噪声。

经过边界层粗筛后，剩余流量进入清洗中心。清洗中心的核心任务不是看单个包的内容，而是分析流量行为。混合攻击中，攻击流量和正常流量在源IP分布、请求频率、协议比例上存在显著差异。例如正常用户访问网站时，TCP与UDP的比例通常稳定在9:1左右，而混合攻击可能把这个比例拉到5:5甚至更低。清洗设备会持续统计每个目的IP的协议分布、新建连接速率、每秒包速率和流量字节数，一旦发现偏离基线，就触发深度检测。

清洗中心需要部署在多个网络入口，避免单点清洗成为新的瓶颈。对于HTTP类攻击，清洗设备会检查请求头完整性、Cookie是否回传、User-Agent是否伪造、请求URL是否随机生成。对于TCP Flood，清洗设备会验证三次握手是否完整，是否只发SYN不回ACK。对于UDP Flood，则检查载荷是否与业务协议匹配，例如DNS请求是否符合域名解析格式，NTP请求是否为合法的时间同步报文。清洗设备把这些特征组合成动态策略，而不是依赖固定签名，这样攻击者改变工具参数时，行为模型仍然能识别异常。

清洗中心放行后的流量进入反向代理层，这一层负责处理HTTP和HTTPS请求，是混合攻击中应用层攻击的主要防线。反向代理需要实现严格的源验证机制，最有效的方法是JavaScript挑战和Cookie挑战。当请求首次到达时，代理不直接转发到源站，而是返回一段JavaScript代码，要求客户端执行后携带计算结果重新请求。真实浏览器能自动完成这个过程，而大多数攻击脚本和僵尸网络节点不具备完整的JavaScript执行环境，会被直接拦截。

对于API类业务，JavaScript挑战不适用，因为客户端是程序而不是浏览器。此时需要采用签名验证和频率限制。API请求必须携带时间戳、随机数和签名，代理验证签名是否合法，并检查时间戳是否在允许的窗口内。同时，代理层会按API Key、IP地址和设备指纹三个维度做令牌桶限速，每个维度的限速阈值独立计算，避免单一IP下多个正常用户被误伤。混合攻击中常见的慢速攻击，例如Slowloris和Slow POST，代理层通过设置最小传输速率和最大请求时长来防御，如果客户端在30秒内没有发完请求头，连接直接断开。

即使前面三层过滤了大部分攻击流量，源站仍然可能面临突发流量冲击。源站防护的重点是资源隔离和快速扩容。资源隔离意味着将静态资源和动态请求分离，静态资源全部推送到CDN缓存，源站只处理动态业务逻辑。混合攻击中大量请求会命中静态资源，如果这些请求到达源站，会消耗CPU和磁盘IO。通过CDN缓存，静态请求在边缘节点就被响应，源站压力大幅降低。

动态请求部分需要做服务降级和队列保护。当源站连接数接近上限时，应用服务器应该返回503状态码并设置Retry-After头，而不是继续接收请求导致内存溢出。同时，数据库连接池需要设置最大连接数和等待超时，防止慢查询占满连接。对于需要登录的业务，登录接口单独限速，因为登录接口涉及数据库查询和密码校验，是攻击者常用的消耗点。源站还应该配置自动扩容策略，当CPU使用率超过70%或连接数超过阈值时，自动增加后端实例，但这需要配合前面层次的清洗，否则扩容只是给攻击流量提供更多资源。

上述四层架构的关键不在于每层有多强，而在于层与层之间的联动速度。攻击发生时，清洗中心检测到异常后，需要在几秒内把攻击特征同步给边界路由器和反向代理。边界路由器根据特征做粗粒度丢弃，反向代理根据特征做应用层拦截。如果清洗中心发现某个攻击源IP段持续发起攻击，应该自动下发黑名单到边界层，让这些IP在进入网络前就被丢弃。

联动需要依赖统一的策略管理平台，各层设备通过API上报流量数据和拦截日志。平台根据预设的阈值和规则，自动生成策略并下发。人工介入只处理策略冲突和误判，日常攻击响应完全自动化。例如当清洗中心发现某个目的IP的UDP流量占比超过60%且持续2分钟，平台自动向边界路由器下发UDP限速策略，同时通知反向代理对该IP的UDP服务做源验证。整个过程不需要人工操作，响应时间从分钟级缩短到秒级。

混合流量DDoS攻击的防护没有单一银弹，多层防御架构的价值在于让每一层都专注于自己最擅长的事情，同时通过联动把各层的检测和拦截能力叠加起来。边界层解决带宽饱和，清洗中心解决协议层攻击，反向代理解决应用层攻击，源站解决资源耗尽。攻击者可以混合多种手法，但防御方只要保持各层之间的信息同步和策略联动，就能在攻击形态变化时快速调整防线。真正有效的防护不是追求某台设备的性能极限，而是让整个体系具备弹性，在攻击压力下仍然能维持核心业务的可用性。