一、网络拓扑结构排查
（一）收集现有拓扑信息
- 文档审查
- 首先查看网络拓扑结构的文档，包括网络设计图、设备连接表、IP 地址分配方案等。这些文档应该详细记录了网络中各个设备（如路由器、交换机、防火墙、服务器等）的位置、连接方式以及网络区域的划分。通过对比当前网络状态和文档记录，可以初步发现是否存在未经授权的设备接入或者连接关系的改变。
- 检查文档的更新日期和版本信息，确保所参考的文档是最新的并且准确反映了网络在 DDoS 攻击前的拓扑结构。如果文档没有及时更新，可能会导致排查过程中的误解和遗漏。
- 设备配置备份检查
- 从网络设备（如路由器、交换机）中提取配置备份文件。这些文件包含了设备的接口配置、VLAN 设置、路由策略等关键信息。通过分析配置备份文件，可以确定设备之间的实际连接关系和网络的逻辑拓扑。
- 特别注意检查接口的启用状态、IP 地址配置以及端口绑定的 VLAN 等信息。例如，在攻击后发现某个接口的 IP 地址被修改或者原本应该关闭的接口处于开启状态，这可能是攻击导致的异常情况或者攻击者留下的后门。
（二）物理连接检查
- 设备位置和连线确认
- 实地查看网络设备的物理位置和连接线缆。确保设备的摆放位置符合网络拓扑文档的描述，并且线缆连接牢固、没有损坏或者被非法插拔。在 DDoS 攻击过程中，物理连接可能会受到干扰，例如，攻击者可能试图通过拔掉关键线缆来破坏网络的正常运行。
- 对于大型的数据中心或者复杂的网络环境，使用线缆标签和设备标识来辅助检查，确保每根线缆的连接位置正确无误。同时，注意检查设备的电源供应情况，确保设备正常供电，因为电源故障也可能导致网络拓扑结构在系统层面显示异常。
- 端口状态检查
- 通过网络设备的管理界面或者命令行工具，查看各个设备端口的状态。检查端口的连接速度、双工模式、错误计数器等参数。正常情况下，端口的连接速度和双工模式应该与连接的对端设备相匹配，并且错误计数器的值应该在合理范围内。
- 如果发现某个端口的错误计数器持续增加，可能表示该端口连接的线路存在问题，如信号干扰、线缆损坏或者连接的设备出现故障。这可能是 DDoS 攻击导致的网络拥塞引起的，也可能是攻击者利用该端口进行恶意活动后的结果。
（三）网络逻辑拓扑检查
- VLAN 和子网划分验证
- 检查 VLAN（虚拟局域网）的划分和子网的分配情况。确保 VLAN 之间的隔离符合安全策略，并且每个子网的 IP 地址范围没有被非法修改。在 DDoS 攻击后，攻击者可能会尝试突破 VLAN 的限制或者篡改子网掩码，以扩大攻击范围或者获取更多的网络访问权限。
- 可以通过查看交换机的 VLAN 配置和路由器的子网划分配置来验证。例如，检查 VLAN 成员端口是否正确，以及不同 VLAN 之间的路由策略是否正常。如果发现 VLAN 之间出现异常的通信或者子网内的 IP 地址冲突，这可能是网络拓扑结构被破坏的迹象。
- 路由表检查
- 查看路由器和三层交换机的路由表。路由表决定了网络流量的转发路径，在 DDoS 攻击期间可能会被篡改或者受到错误的路由更新信息的影响。检查路由表中的路由条目是否正确，包括目的网络、下一跳地址和路由度量值等参数。
- 特别注意是否存在异常的静态路由或者动态路由协议产生的错误路由。例如，发现一条指向不存在的网络或者将流量导向非法 IP 地址的路由，这可能是攻击者注入的恶意路由，用于引导流量绕过安全防护或者将攻击流量扩散到其他网络区域。
二、网络拓扑结构优化
（一）分层和分区设计
- 分层架构优化
- 采用分层的网络拓扑结构，如核心层、汇聚层和接入层。在优化过程中，明确各层的功能和职责。核心层主要负责高速的数据转发，汇聚层用于汇集接入层的流量并进行初步的策略控制，接入层则连接终端设备。
- 确保各层之间的连接方式合理，例如，采用冗余链路来提高网络的可靠性，同时避免单点故障。在遭受 DDoS 攻击时，分层架构可以帮助隔离攻击流量，防止攻击快速蔓延到整个网络。例如，通过在汇聚层配置访问控制列表（ACL），可以限制从接入层进入核心层的异常流量。
- 区域划分和隔离
- 根据业务功能、安全级别或者用户群体，将网络划分为不同的区域，如办公区域、服务器区域、DMZ（非军事区）等。在每个区域之间设置严格的访问控制，例如，通过防火墙或者 VLAN 间的访问控制策略来限制区域间的流量。
- 在 DDoS 攻击后，优化区域划分可以增强网络的安全性。例如，将对外提供服务的服务器放置在 DMZ 区域，与内部办公网络隔离开来。这样，即使服务器遭受 DDoS 攻击，也能减少对内部网络的影响，同时方便对攻击流量进行监测和过滤。
（二）冗余和备份策略
- 链路冗余配置
- 增加网络链路的冗余度，如采用多条互联网接入线路或者在关键设备之间配置多条物理链路。在 DDoS 攻击导致某一条链路拥塞或者故障时，冗余链路可以自动切换，保证网络的连通性。
- 可以使用链路聚合技术（如 LACP）来将多条物理链路捆绑成一个逻辑链路，提高链路的带宽和可靠性。同时，配置动态路由协议来实现链路故障时的自动切换，确保网络流量能够快速地通过备用链路传输。
- 设备冗余和备份
- 对于关键的网络设备（如核心路由器、防火墙），采用冗余配置。可以是热备份（主备设备同时运行，主设备故障时备设备立即接管）或者冷备份（备设备平时处于待机状态，主设备故障时手动切换）的方式。
- 定期对备份设备进行测试和维护，确保在需要时能够正常工作。例如，在遭受 DDoS 攻击导致主设备性能下降或者故障时，备份设备能够快速接管网络流量，减少网络中断的时间。
（三）流量控制和过滤优化
- 流量整形和速率限制
- 在网络入口和关键节点处设置流量整形和速率限制策略。通过限制某些类型的流量（如 UDP 流量、非关键业务的 HTTP 流量）的速率，可以防止 DDoS 攻击流量快速占用网络带宽。
- 流量整形可以根据业务需求和网络带宽情况，将流量按照优先级进行排队和发送。例如，对于语音和视频等对实时性要求较高的流量，给予较高的优先级，而对于非关键的文件下载等流量，适当降低其优先级，以确保在遭受攻击时重要业务不受影响。
- 入侵检测和访问控制优化
- 优化入侵检测系统（IDS）和入侵防御系统（IPS）的配置，使其能够更准确地检测和阻止 DDoS 攻击。更新 IDS/IPS 的规则库，以识别最新的攻击模式和恶意流量特征。
- 加强访问控制列表（ACL）的配置，在网络设备（如路由器、防火墙）上设置更严格的访问规则。例如，只允许特定 IP 地址段或者用户群体访问关键的网络资源，禁止来自已知恶意 IP 地址或者未授权的网络区域的流量进入。