- 排查前的准备工作
- 记录设备状态：在开始排查之前，尽可能详细地记录网络设备当前的状态。包括指示灯状态、端口连接情况、设备的配置备份等。这些记录可以帮助后续对比设备在攻击前后的状态变化。
- 收集攻击信息：收集 DDoS 攻击的相关信息，如攻击类型（是流量型攻击还是应用层攻击）、攻击的时间、攻击的流量峰值等。这些信息对于判断设备可能受到的影响有重要的参考价值。
- 准备工具：准备好网络测试仪、螺丝刀（用于谨慎打开设备外壳检查，如必要）、防静电设备（如防静电手环）、电压表等工具。
- 设备外观检查
- 检查连接线路：仔细查看网络设备的电源线、网线、光纤等各种连接线路。检查线路是否有破损、折断、松动等情况。对于网线，可以轻轻拉扯一下，检查接口是否牢固。因为在 DDoS 攻击时，巨大的流量冲击可能会导致线路连接出现问题。
- 查看指示灯状态：观察设备上的指示灯。不同的网络设备指示灯有不同的含义。例如，电源指示灯通常为绿色常亮表示电源正常；端口指示灯闪烁表示该端口有数据传输。如果发现指示灯异常，如频繁闪烁、颜色异常或者不亮，可能表示对应的设备组件出现问题。
- 电源模块检查
- 检查电源供应稳定性：使用电压表测量设备的输入电源电压。确保电压在设备规定的正常工作电压范围内。例如，一般网络设备的工作电压范围在 100 – 240V（不同设备可能有所差异）。如果电压异常，可能会影响设备的正常运行，甚至损坏设备硬件。
- 查看电源模块外观：检查电源模块是否有过热、冒烟、烧焦的迹象。过热可能是因为 DDoS 攻击导致设备功耗异常增加，或者电源模块本身故障。如果发现电源模块有烧焦的味道，应立即停止使用设备，并更换电源模块。
- 端口检查
- 物理端口检查：检查网络设备的端口（如以太网端口、光纤端口等）是否有物理损坏。查看端口的针脚是否弯曲、折断或者有异物进入。对于光纤端口，检查光纤头是否干净，有无损坏。
- 端口功能测试：使用网线测试仪对以太网端口进行测试，检查线路是否正常连通。对于更复杂的端口功能测试，可以通过连接其他测试设备，发送和接收数据来检查端口的数据传输能力。例如，在交换机上，可以将两个端口连接，从一个端口发送数据，看另一个端口是否能够正确接收。
- 内部组件检查（如有需要）
- 静电防护措施：如果需要打开设备外壳检查内部组件，一定要采取完善的静电防护措施。戴上防静电手环，将手环的接地端良好接地。这样可以防止人体静电对设备内部的电子元件造成损害。
- 检查电路板和芯片：查看电路板上是否有明显的损坏迹象，如电容鼓包、芯片烧焦等。这些情况可能是由于 DDoS 攻击导致设备过载，进而损坏了内部组件。对于一些复杂的芯片，可以通过观察其表面温度是否异常来初步判断是否存在故障。
- 设备性能测试
- CPU 和内存使用率测试：登录设备的管理界面，查看设备的 CPU 和内存使用率。在 DDoS 攻击后，设备可能因为处理大量的攻击流量而导致 CPU 和内存使用率居高不下。正常情况下，网络设备的 CPU 使用率应该在一个合理的范围内（例如，路由器的 CPU 使用率一般在 30% – 60% 左右），如果使用率过高，可能需要进一步分析原因，如是否有恶意进程占用资源。
- 带宽和吞吐量测试：使用专业的网络测试工具，对设备的带宽和吞吐量进行测试。通过与设备正常工作时的带宽和吞吐量进行对比，判断设备是否受到 DDoS 攻击的影响。例如，可以使用 Iperf 等工具在设备的不同端口之间进行带宽测试，观察实际带宽是否符合预期。
- 维护措施
- 清洁设备：如果设备内部有灰尘等杂质，使用干净的压缩空气罐对设备内部进行清洁。灰尘可能会影响设备的散热性能，进而导致设备工作异常。
- 更换损坏组件：如果在排查过程中发现有损坏的组件，如电源模块、端口模块等，及时更换相应的组件。在更换组件时，确保使用与原设备兼容的正品组件。
- 固件更新：在完成硬件排查和修复后，考虑更新设备的固件。厂商可能会针对 DDoS 攻击等安全问题发布新的固件版本，更新固件可以增强设备的安全性和稳定性。