DDoS 防御体系：从流量清洗到 Anycast 调度

分布式拒绝服务攻击（DDoS）通过海量僵尸网络耗尽目标带宽或连接资源。单一数据中心难以抵御 Tbps 级流量，生产级防御通常采用多层架构。

一、防御分层模型

1. 边缘 Anycast 调度：将同一 IP 宣告至全球多个清洗中心，攻击流量被就近吸收
2. 流量清洗（Scrubbing）：基于特征与行为分析丢弃恶意报文，仅将干净流量回源
3. 源站隐藏：通过 CDN 或高防 IP 隐藏真实服务器地址
4. 应用层限流：针对 CC 攻击在七层实施令牌桶与行为验证

二、内核层快速丢弃示例

# 启用 SYN Cookies 抵御 SYN Flood
sysctl -w net.ipv4.tcp_syncookies=1
# 调低 SYN 队列超时
sysctl -w net.ipv4.tcp_synack_retries=2

对于超大规模攻击，可结合 XDP 在网卡驱动层直接丢弃恶意报文，将单机防护吞吐提升至千万级 PPS。 ```