sentinel, Lab
场景 3 — 阶段二：流量清洗与分流
流量清洗架构
攻击流量 → 运营商/CDN（第一层清洗） ↓ BGP/DNS 引流 清洗中心（专业设备深度清洗） ↓ GRE/MPLS 回注 源站服务器（正常业务处理）
清洗技术栈
| 层级 | 技术 | 说明 |
|---|---|---|
| 1 | IP 信誉过滤 | 已知僵尸网络 / 代理 IP 黑名单 |
| 2 | 协议合规校验 | TCP 状态机 / 包头合法性检查 |
| 3 | 行为分析 | 访问频率 / 请求模式 / 会话特征 |
| 4 | 挑战验证 (JS / CAPTCHA) | 对可疑流量发起浏览器验证 |
清洗方式选择
| 方式 | 适用场景 |
|---|---|
| BGP 引流 | 运营商级别引流，适合大带宽攻击 (>50G) |
| DNS 切换 | 域名解析切换到清洗 IP，适合 Web 类业务 |
| 本地清洗设备 | Anti-DDoS 设备部署在出口，适合中小规模攻击 |
| 云清洗服务 | Always-On 或 On-Demand 模式，弹性扩展至 Tbps 级 |
清洗难点与精度保障
| 挑战 | 说明 |
|---|---|
| CC 攻击清洗 | 应用层攻击模拟正常用户，需 JS 挑战 + 行为分析组合 |
| 误杀控制 | 清洗策略过严导致正常用户被拦，需持续监控误杀率 |
| 混合攻击应对 | 多层清洗策略组合，流量型 → 协议型 → 应用层逐级过滤 |
目标：清洗率 > 99.9% · 误杀率 < 0.01% · 延迟增加 < 10ms