那是一场彻底打乱公司业务节奏的网络攻击，高峰期的并发连接被DDoS流量迅速淹没，防护节点撑不过10分钟。我作为运维负责人，意识到传统单点高防结构的短板已经无力支撑当前业务的稳定运行。于是，我们着手重构架构，在香港与新加坡两地搭建分工明确、协同运行的多节点高防系统。在这篇文章中，我将详细拆解这套体系背后的部署逻辑、技术选型、带宽策略与节点分工方式，完整复盘实战过程。
一、整体架构目标与节点职责划分
我们采用的核心思路是异地多节点部署 + 分层调度防护 + 跨区域带宽引流分担。香港节点承担主入口流量与初级过滤任务，新加坡节点作为转发中枢与高级策略处理单元，形成“前端拦截+后端清洗”的架构闭环。
节点角色定义：
香港节点职责：
- 拦截流量高峰期的CC攻击、SYN Flood等包级攻击
- 具备25M CN2 GIA出口，优先保障中国大陆方向的低延迟接入
- 支持IP封禁、行为识别、WAF规则落地部署
- 与云防平台实时联动，承担动态黑名单下发任务
新加坡节点职责：
- 主动引流与精细清洗，适用于HTTP Flood、慢速连接等高维攻击
- 具备100M BGP国际带宽，连通性更强，面向东南亚与欧美回源路径
- 深度部署L7防护引擎（基于Nginx+Lua+Redis实现）
- 承担跨地域的DNS调度与容灾能力
二、服务器产品参数与接入资源规划
| 地区 | CPU配置 | 内存 | 带宽规格 | 主要功能 |
|---|---|---|---|---|
| 香港节点 | 2×英特尔至强4210 | 64GB | 25M中国GIA+100M混合 | 高频DDoS拦截 |
| 新加坡节点 | AMD EPYC 7302 | 128GB | 100M BGP国际带宽 | 流量引流与L7清洗 |
存储方案：香港采用RAID1 SSD加快日志写入速度；新加坡部署RAID10混合阵列提升多并发下的I/O性能。
系统环境：均为基于CentOS 7.9定制化内核，开启NF_CONNTRACK优化。
三、部署技术细节与通信机制
1. 双区域Anycast入口接入
我们为两个节点分别申请独立Anycast IP段，通过BGP通告将香港作为主节点，新加坡作为回退节点。DNS解析上配合智能调度器（采用PowerDNS+Lua插件）实现以下规则：
- 来自中国大陆流量优先指向香港节点
- 来自SEA、欧美流量优先指向新加坡
- 节点探测异常时自动Failover
2. 多层DDoS防护模块构建
- L3/L4防护层：接入A5高防盾系统，通过IPFIX协议回传报文特征值，动态黑名单联动清洗中心
- L7防护层：新加坡节点使用自研Nginx模块，基于cookie验证+滑动指纹算法识别机器人行为，防御慢速POST、连接耗尽攻击
- 应用策略层：部署WAF引擎（openresty+ModSecurity规则组合），支持自动化更新规则集并对API流量做速率限制
四、协同调度策略与节点容灾机制
为保证两节点之间的高效协同与容灾切换能力，我们构建了以下同步机制：
- 配置同步：基于rsync定时推送黑名单、WAF策略、Nginx配置，确保规则一致性
- 数据同步：日志使用Filebeat推送至Kafka队列，再由Logstash转存至ElasticSearch，便于全局检索与审计
- 状态监控：Prometheus部署于新加坡节点，香港节点通过Node Exporter回传性能指标，统一由Grafana面板展示
此外，针对极端情况下香港节点被攻击拖垮的风险，我们启用GRE隧道机制，在新加坡节点中继香港访问，保障业务不中断。
五、实测数据与效果反馈
我们在双节点部署完成后，对照三组测试数据进行了压力测试与实战演练：
- 攻击模拟峰值：60万PPS，100Gbps带宽洪峰
- 节点承载情况：香港节点CPU占用率<40%，流量清洗效率稳定保持>90%
- 切换延迟：DNS解析TTL设置为60s以内，平均Failover耗时<8秒
- 误杀率：整体误判率控制在0.05%以内，业务访问无明显中断
六、不是孤岛，而是网络协同体
从单点高防转向多节点协同，不是简单的服务器堆叠，而是体系化构建、防御策略联动、带宽资源整合的过程。香港与新加坡节点的合理分工，不仅提升了整体防御弹性，更为未来业务的横向扩展打下了坚实基础。这一次，我们不仅挡住了攻击，更真正掌控了主动权。
