Anycast 多机房防护：单机房被打满流量无法分流、其余节点带宽闲置问题解决

问题描述现有全球 20 个机房，单机房出口峰值带宽 500Gbps ，业务网段采用 Anycast 方式全网统一宣告。正常业务流量下流量可均匀分散至各节点，带宽资源利用率良好。

但遭遇 DDoS 攻击时存在明显缺陷：

若攻击者定向针对单一机房节点发起大流量攻击，该节点 500Gbps 带宽被快速打满后直接瘫痪不可用；此时撤销攻击机房路由宣告，根据 BGP 选路原则流量会进入 19 个机房的其中一个，最终结果还是一样被打死，最终形成多米多骨牌；

请问该如何彻底解决该问题？

NewYear

4 月 22 日

放弃这个架构。
自己调度节点会好点。

DDOS 的本质是伪造 IP ，互联网谁都不管伪造 IP 这个事，各个运营商接入商谁都闭着眼睛当做看不见，才导致成为了问题。

NewYear

4 月 22 日

@jonathan001 #2

问题是运营商是黑盒，你啥都控制不了。

技术上你控制不了，钱你有没有嘛，如果你有钱也可以买防御 ddos 的，本质上还是烧宽带烧钱。

mytsing520

4 月 23 日

@jonathan001
首先每个机房带宽本身就很大
其次，来自同一个地区的流量不会只指向同一个机房，而是多机房互备

当然即便如此他们最近也遇到过几次全球所有机房带宽差点被打爆的情况

garyalen

4 月 26 日

要实现可调度的前提
20 个机房之间除了出口外还有独立链路互联
anycast 的情况正常是就近打进来不应全压在一个机房的这种情况你的 aspath 可能有问题
被打的情况一般应向上游发 666 黑洞

jonathan001

4 月 26 日

@lan894734188
anycast 的情况正常是就近打进来不应全压在一个机房的这种情况你的 aspath 可能有问题
比如我某一个机房在 HK 宣告，又能没有可能黑客调用 HK 的所有肉鸡进行攻击？这样对于 anycast 能操作的空间非常有限，要么带宽够大可以扛住，要么直接发 666 给运营商直接黑洞，要么添加更长的 ASPATH 路由流量引入到其它机房，但是最终还是把流量交给一个特定机房，终归没有把流量全部打散到 20 个机房当中。

garyalen

4 月 27 日

@jonathan001 你不能脱离业务去 anycast 呀。20 个机房都广播了 1.1.1.1 的情况 20 个机房都有这个 IP 的服务的而不是全回到一个机房

jonathan001

4 月 28 日

@lan894734188 你 20 个机房分配在不同省份，anycast 就近原则，山东省肯定访问山东的机房，如果黑客调用了山东大量肉鸡，是不是可以定点攻击山东机房？从原先的分布式攻击，到现在精准狙击，如果山东机房挂了，就会攻击北京机房，北京机房挂了就会攻击河北省最终形成多米诺骨牌，这种现象该如何解决？目前想到的是各个机房带宽只要足够大，就可以避免被定点攻击的情况，但是成本巨高。

garyalen

4 月 28 日

@jonathan001 anycast 本身无法解决集中地区 dos 攻击因为 ddos 的常以分布式多地点的形态出现黑洞+清洗才是正解。

jonathan001

4 月 28 日

@lan894734188 了解，也就是我考虑的情况比较极端，同一个省份这么大的攻击流量，当地有关部门应该已经介入了。

这是一个专为移动设备优化的页面（即为了让你能够在 Google 搜索结果里秒开这个页面），如果你希望参与 V2EX 社区的讨论，你可以继续到 V2EX 上打开本讨论主题的完整版本。

https://v2ex.ih06.com/t/1207710

V2EX 是创意工作者们的社区，是一个分享自己正在做的有趣事物、交流想法，可以遇见新朋友甚至新机会的地方。

V2EX is a community of developers, designers and creative people.