1. 架构与边界防护规划

- 在韩国部署时优先选择带有「高防」或「DDoS 清洗」的机房/带宽产品，建立多线接入（多ISP/BGP）以实现流量冗余。
- 将公网入口放在托管的清洗/转发层（如CDN、云清洗、ISP清洗），高风险时将流量先导入清洗，再回传到业务层。
- 将业务拆分为控制面（API、管理）和数据面（静态资源、媒体），把大流量静态资源放到CDN或对象存储，减少源站压力。

2. 边缘设备与内核级防护部署步骤

- 在边缘防护机（或Bastion）上启用内核防护：编辑 /etc/sysctl.conf 并应用：
net.ipv4.tcp_syncookies=1
net.ipv4.ip_forward=1（如做反向代理）
net.netfilter.nf_conntrack_max=262144（根据内存调整）
执行 sysctl -p 生效。
- 安装并配置 nftables 或 iptables，先白名单管理控制通道，再按服务端口做最小放通。示例规则（iptables 示例，仅供参考）：
iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 200 -j DROP

3. 流量限速与 SYN/UDP 防护操作指南

- 使用 tc 配置对突发流量做速率限制与优先级排队（HTB + fq_codel）：先创建 qdisc，再对端口流量标记并限速。命令示例（需按实际网卡和速率调整）：
tc qdisc add dev eth0 root handle 1: htb default 30
tc class add dev eth0 parent 1: classid 1:1 htb rate 1gbit
- 启用 SYN cookies 并在 nginx/haproxy 层启用 SYN proxy 或使用内核 SYN backlog 调整（net.ipv4.tcp_max_syn_backlog）。

4. 负载均衡与自动扩容流程

- 部署两层负载：边缘反向代理（nginx/tcp-proxy）+后端真实服务器集群，前端做健康检查与流量分摊。
- 实施自动扩容策略：当 1分钟内流量/连接数超过阈值时触发扩容脚本（调用 API 新增实例并加入 LB），并在峰值过去后按策略回收。
- 准备冷备和warm standby镜像：定期同步配置与镜像，确保新增节点能在分钟级内上线。

5. 监控、告警与取证流程

- 建立多维监控（流量、连接数、SYN率、CPU/IO、丢包率）。建议栈：Prometheus + node_exporter + blackbox + Grafana。
- 配置告警策略：流量突增、连接数异常、清洗触发次数等各自阈值；告警同时推送到短信/电话/值班群并触发Runbook。
- 取证保存：遇到攻击保存 pcap（tcpdump -s 0 -w）和 netstat/iptables/nft 状态快照，便于与清洗方/ISP沟通。

6. 演练、SOP 与权限管理

- 制定并定期演练DDoS应急SOP：发现->确认->切换清洗->扩容->回收，每一步写明责任人和联系方式。
- 权限最小化：生产网络变更采用审核流程（GitOps 或 CMDB + CI），任何边界规则变更需审批并可回滚。
- 定期做容量评估和压力测试（使用合法压力工具在控制环境下），验证清洗与扩容链路是否能在SLA内恢复。

7. 问：运维团队在首次遭遇大流量攻击时应优先执行什么操作？

问：在首次遭遇大流量攻击时，运维应立即执行哪些优先操作以保护服务可用性？
答：先确认业务影响范围并开启应急SOP：切换到CDN/清洗（或请求ISP清洗），启用边缘限流和SYN防护，启动扩容脚本，并保存流量取证数据，同时通知相关负责人与清洗方。

8. 问：如何做到在不影响正常用户的前提下限流？

问：能否只针对恶意流量限流而不影响正常用户体验？
答：通过分层防护：将已知正常流量走CDN缓存和优先队列，对异常来源做IP/ASN/地理位置分级限流，使用速率限制+连接数阈值并结合行为识别（如请求速率、UA、cookie）最小化误伤。

9. 问：有哪些日常检查与改进建议？

问：运维日常应关注哪些点以长期提升“打不死”能力？
答：保持监控指标健康、定期更新防护规则、每季度演练一次SOP、与清洗供应商建立协作通道、持续做容量和故障注入测试并复盘每次事件。

来源：从运维角度提升韩国高防服务器打不死能力的技术与流程建议