清洗中心牵引配置如何完成切换与回源？

当公网业务遭遇大流量攻击或异常访问时，清洗中心牵引配置的核心不是简单“改一条路由”，而是同时处理引流、清洗、转发和回切四个环节。常见架构是：互联网流量先被牵引至清洗中心，清洗中心过滤明显攻击流量，再通过专用链路把正常流量送回源站。

实际切换前，应先确认业务公网地址、源站出口、清洗中心接入方式以及回源路径。没有明确的地址范围、路由权限和验证方法，临时修改容易造成流量绕路、回源失败或部分用户无法访问。

一、先确定牵引与回源方式

清洗中心通常通过BGP引流、静态路由或GRE隧道承载业务。不同方式的适用条件并不相同。

在清洗中心牵引配置中，BGP负责“把流量带过去”，GRE隧道或专用互联负责“把干净流量送回来”，两者可以组合使用，不能把引流和回源混为一谈。

二、切换前完成四项检查

核对地址与路由范围

列出需要防护的公网IP或地址段，确认它们确实指向当前业务，不要把管理地址、监控地址和不需要防护的系统一并牵引。若使用BGP，应提前确认允许发布的前缀长度、社区属性和本地优先级。

检查源站入口策略

切换后，源站看到的可能不再是用户原始连接路径，而是清洗中心的回源地址或隧道地址。因此，防火墙、负载均衡器和Web服务器需要放行清洗中心的合法回源地址，同时保留必要的管理访问控制。

验证回源通道

在不承载生产流量时，测试清洗中心到源站的连通性、端口访问和双向路由。重点检查TCP握手、TLS连接、应用端口以及大报文传输。GRE场景还要根据链路条件调整隧道MTU，具体数值应以设备封装开销和实际探测结果为准。

准备可执行的回切方案

记录变更前的路由、ACL、负载均衡和隧道参数，并准备反向操作。回切不应只依赖“撤销发布”这一动作，还要确认原始出口重新接收流量后，源站策略没有继续拦截正常用户。

三、清洗中心牵引配置的切换步骤

1. 建立清洗会话：确认BGP邻居或其他引流通道状态正常，核对认证、邻居地址和会话状态。
2. 发布防护前缀：按照约定发布需要防护的业务地址，并限制路由传播范围，避免误宣告更大的地址段。
3. 确认流量进入清洗中心：从路由表、会话统计和清洗中心接收记录判断流量是否已经改变路径，不要仅凭单个客户端访问判断。
4. 开启回源转发：确认清洗策略生效后，将合规流量经GRE隧道或专用链路送往源站，检查源站入口设备是否出现正常连接。
5. 验证业务功能：依次测试网站首页、登录、API、文件上传或其他关键端口。验证时应覆盖不同运营商或不同网络出口，避免只测试一个位置。
6. 观察并保留记录：持续查看丢包、时延、隧道状态、源站连接数和应用错误日志。观察时间应结合攻击规模和业务峰值确定，不能用固定分钟数替代判断。

安全提醒：切换期间不要同时大范围修改路由、ACL和应用配置。每完成一项变更就记录结果，发生异常时才能快速定位是引流、清洗还是回源环节出现问题。

四、如何判断切换成功

成功标准至少包括三层：第一，路由层面，业务前缀从预期入口进入清洗中心；第二，传输层面，清洗中心到源站的回源通道稳定，关键端口能够完成连接；第三，应用层面，用户可正常访问核心功能，源站日志中的错误率没有异常上升。

还要区分“流量变小”和“攻击被清洗”。如果入口流量下降，但源站仍出现连接耗尽、应用线程阻塞或数据库连接激增，说明清洗策略可能只处理了部分流量，或回源容量不足。此时应检查清洗规则、源站限流、连接保持和负载均衡分配。

五、回源与回切的处理原则

攻击缓解后，不要立即撤销所有配置。先确认异常流量已持续下降，清洗中心侧没有积压，源站能够承受恢复后的访问量，再按相反顺序回切。

1. 降低或停止清洗中心的业务前缀发布，保留必要的监控。
2. 确认原始网络出口重新学习到业务路由，且没有更优的旧路由残留。
3. 恢复源站原有入口策略，继续保留必要的攻击源限制。
4. 从外部网络测试核心业务，并核对源站、负载均衡和防火墙日志。
5. 确认流量稳定后，再删除临时ACL、临时静态路由和不再使用的隧道参数。

常见问题

1. 只发布BGP路由就算完成切换了吗？

不算。还必须确认清洗中心已接收流量，并且干净流量能够沿回源链路到达源站。

2. GRE隧道为什么通，但应用仍打不开？

可能是MTU、端口策略、回程路由或源站仅允许原出口地址导致。应分别检查网络层、传输层和应用层。

3. 回源地址需要加入白名单吗？

通常需要。应只放行清洗中心确认使用的回源地址或隧道网段，并结合端口和访问方向进行限制。

4. 什么时候适合回切源站？

当攻击流量已明显下降、源站资源恢复且原始路由和防火墙策略均已验证时再回切。清洗中心牵引配置应保留可再次启用的参数，便于突发情况下快速切换。