运维指南韩国star机房带宽管理与流量清洗实战经验分享

1. 概述与准备工作

目的：建立可监控、可控的带宽管理与流量清洗流程。
步骤：1) 收集机房链路信息（承载运营商、链路速率、接入点）；2) 准备远程登录权限（root/运维账号、密钥）；3) 备份配置与流量样本存储位置（至少保留7天pcap）。
工具清单：ssh、tcpdump、tc、iptables/ nftables、Prometheus+Grafana、ntop/ntopng、tcpreplay。

2. 韩国Star机房网络架构解析

分析：确认上游ISP是否有多线BGP、是否存在本地交换机ACL和防火墙。
操作：使用netstat -rn / ip route查看路由；使用ethtool -S查看网卡错误；记录物理接口命名（eth0/ens*）。
结果：做好链路冗余与流量切换预案（文档化BGP社区与黑洞策略）。

3. 带宽监控工具部署

监控核心：部署Prometheus + node_exporter用于接口速率采集。
安装示例：apt-get update && apt-get install -y prometheus node-exporter；在prometheus.yml加入targets。
告警：在Alertmanager设定阈值（接口利用率>80%持续5分钟、连接数突增），并配置短信/钉钉告警。

4. 流量采集与分析流程

采集命令：tcpdump -i eth0 -w /var/log/pcap/flow_$(date +%F_%H%M).pcap -C 100 -W 10 'port 80 or port 443'。
分析：用tshark或Wireshark打开pcap查看Top IP/Top端口；部署ntopng做长期流量可视化。
存档：使用logrotate或脚本每日归档并压缩，7天自动清理。

5. 带宽限速与QoS实操

Linux tc 示例：tc qdisc add dev eth0 root handle 1: htb default 10；tc class add dev eth0 parent 1: classid 1:1 htb rate 900Mbps；tc class add dev eth0 parent 1:1 classid 1:10 htb rate 100Mbps。
应用：通过tc filter基于ip/port标记流量并归入不同class以保障关键业务带宽。
验证：使用iftop或bmon实时观察速率，tc -s qdisc查看统计。

6. 流量清洗总体策略设计

原则：优先保护重要服务（白名单）、识别并丢弃恶意流量（黑名单/特征匹配）。
手段：GeoIP封禁、异常连接阈值、HTTP头/UA异常识别、速率限制。
存储：恶意IP与指纹库应版本化并分发到所有边缘防护节点。

7. 基于特征的清洗实战步骤

识别：用ntop/ntopng或tshark提取Top IP、异常端口、连接速率。
阻断示例：iptables -N DDOS_PROTECT；iptables -A DDOS_PROTECT -m connlimit --connlimit-above 200 -j DROP；iptables -I INPUT -p tcp --dport 80 -m recent --set；iptables -I INPUT -p tcp --dport 80 -m recent --update --seconds 10 --hitcount 100 -j DROP。
细化：对HTTP请求速率采用nginx limit_req_zone+limit_req做应用层限流。

8. BGP黑洞与云清洗接入流程

前提：与上游或清洗服务签署黑洞或流量转发协议。
操作：配置BGP社区将可疑前缀发送至清洗中心；或建立GRE/VXLAN隧道将流量镜像到Scrubbing Center。
验证：通过BGP路由表（show ip bgp）和tcpdump确认流量已转发。

9. 恢复、回放与测试

回放：使用tcpreplay --intf1=eth1 capture.pcap重放攻击流量到测试网络。
测试流程：在非生产网络先验证清洗策略（限流/丢弃是否准确），记录误杀率与延迟影响。
回滚：配备脚本一键恢复iptables/tc配置，测试后再推广到生产。

10. 常见故障与排查步骤

故障示例：链路抖动、CPU满载导致清洗延迟、规则误杀。
排查：1) 查看ifconfig/ethtool统计；2) top/iostat确认资源消耗；3) 分层放开规则定位误杀命中；4) 使用tcpdump抓包比对。
建议：对规则变更先在灰度机房验证再下发生产。

11. 日常运维与巡检清单

日常：检查监控告警、接口错误、日志盘使用率、pcap备份情况。
周检/月检：更新黑白名单、更新防护签名库、演练BGP切换与回滚。
文档：每次变更写变更记录并保留快照，便于追溯。

12. 问：如何快速识别来自某IP的恶意流量并临时封禁？

答：用tcpdump -nn host 1.2.3.4 -c 100抓样本，查看连接速率与端口，再用iptables -I INPUT -s 1.2.3.4 -j DROP临时封禁，同时在防火墙/白名单中记录并同步到其他节点。

13. 问：在带宽被占满时，如何保证关键业务可用？

答：预先配置tc/htb策略，给关键服务（IP/端口）划分高优先级class并保证最低速率；遭遇攻击时启动速率限制和应用层限流（nginx limit_req），并考虑将非关键前缀转入黑洞或清洗中心。

14. 问：如何避免清洗过程中误封合法用户？

答：采用分级策略：先用被动监控识别嫌疑流量，再在灰度环境应用规则；使用阈值与行为分析结合（连接数+请求频率+UA特征），并保留回滚脚本和误杀白名单以快速恢复误封用户。

来源：运维指南韩国star机房带宽管理与流量清洗实战经验分享