一、网络链路排查
（一）链路状态检查
- 物理链路检查
- 查看设备连接状态：首先观察网络设备（路由器、交换机等）的物理连接情况。检查连接网络链路的端口指示灯状态，正常情况下指示灯应稳定亮起或按一定规则闪烁。如果指示灯熄灭或异常闪烁（如快速闪烁、不规则闪烁），可能表示物理链路存在问题，如网线松动、光纤损坏等。
- 检查线路完整性：对于有线链路，检查网线是否有破损、折断的情况；对于光纤链路，查看光纤是否有明显的弯曲、断裂迹象。这些物理损坏可能是由于外部因素（如施工破坏、动物咬断等）导致，也可能是在 DDoS 攻击过程中，设备受到异常电力冲击等因素引起。
- 逻辑链路检查
- Ping 测试链路连通性：使用 Ping 命令在链路两端的设备之间进行测试。例如，从本地网络中的一台主机 Ping 目标服务器或另一网段的网关。正常情况下，会收到回应包，丢包率应很低（通常小于 1%），往返时间（RTT）相对稳定。在 DDoS 攻击期间，可能会出现大量丢包（如丢包率超过 10% 甚至更高）或者 RTT 大幅增加（从几毫秒增加到几百毫秒）的情况，这表明网络链路可能受到攻击流量的影响而出现拥塞或故障。
- Traceroute（Tracert）追踪链路路径：通过 Traceroute 工具来确定数据包在网络中传输的路径。在命令提示符（Windows）或终端（Linux、Mac）中输入 “tracert [目标 IP 地址]”（Windows）或 “traceroute [目标 IP 地址]”（Linux、Mac）。观察路径中的每一跳，查看是否有节点出现请求超时或异常高延迟的情况。在 DDoS 攻击时，可能会发现某个中间节点（如路由器）出现故障或拥塞，导致数据包无法正常转发，这有助于定位链路中受攻击影响的部分。
（二）链路带宽监测
- 带宽使用情况分析
- 查看总带宽占用率：利用网络设备自带的带宽监测功能或专业的网络管理软件，查看网络链路的总带宽占用情况。正常情况下，带宽占用率会根据网络中的业务流量有一定的波动，但一般在一个合理范围内。例如，企业办公网络链路在正常工作时段的带宽占用率可能在 30% – 60% 左右。当遭受 DDoS 攻击时，带宽占用率会急剧上升，可能会达到 90% 以上，甚至接近 100%，这是因为攻击流量大量占用了链路带宽。
- 分析带宽使用的时间序列：观察带宽占用率随时间的变化趋势。正常的网络业务流量通常具有一定的时间规律，如在工作时间流量较大，非工作时间流量较小。DDoS 攻击产生的带宽占用峰值往往是突然出现且无规律的，与正常业务流量高峰不同。通过绘制带宽使用的时间序列图，可以更直观地发现这些异常峰值，帮助判断是否遭受 DDoS 攻击以及攻击的时间范围。
- 流量来源和目的地分析
- 确定流量的主要来源：使用网络流量分析工具，查看链路中流量的来源 IP 地址。在正常情况下，流量来源是分散的，来自网络中的各个合法用户或服务器。在 DDoS 攻击时，可能会发现大量流量来自少数几个 IP 段或特定的网络区域，这些可能是攻击者控制的僵尸网络或反射服务器。例如，大量流量来自某个数据中心的 IP 地址范围，而这些 IP 地址与正常业务往来关系不大，这是可疑的流量来源。
- 查看流量的目的 IP 和端口分布：明确流量的目的 IP 和端口有助于确定攻击目标和攻击方式。正常情况下，目的 IP 和端口的流量分布与网络服务的部署和使用情况相符。例如，对于一个提供 Web 服务的服务器，其 80（HTTP）或 443（HTTPS）端口会有较多的流量。在 DDoS 攻击下，可能会发现某个特定的 IP 和端口受到大量流量的集中攻击，如出现大量 UDP 数据包涌向服务器的某个非标准 UDP 服务端口，这可能是 UDP Flood 攻击的迹象。
（三）链路设备性能检查
- CPU 和内存使用率
- 检查网络设备的 CPU 负载：查看路由器、交换机等链路设备的 CPU 使用率。在正常运行时，这些设备的 CPU 使用率相对较低，一般在 30% – 50% 左右，具体取决于设备的性能和网络业务量。在 DDoS 攻击期间，由于要处理大量的数据包，包括攻击流量和正常流量，设备的 CPU 使用率可能会飙升到 90% 以上。例如，当遭受 SYN Flood 攻击时，路由器需要处理大量的 TCP 连接请求，导致 CPU 资源紧张，影响其对数据包的正常转发功能。
- 查看设备内存使用情况：监测链路设备的内存使用率。正常情况下，内存使用率保持在合理范围内，以确保设备能够缓存和处理数据包。在 DDoS 攻击时，内存可能会被大量占用，因为设备需要存储更多的连接信息、路由表项等。如果内存使用率过高，可能会导致设备性能下降，出现丢包、延迟增加等问题。
- 端口流量和错误统计
- 分析端口流量情况：检查网络设备各个端口的流量流入和流出情况。在正常情况下，端口流量与连接到该端口的设备或网络的业务需求相匹配。在 DDoS 攻击时，可能会发现某些端口的流量出现异常，如流量远远超过正常水平或者接收大量不符合正常业务协议的数据包。例如，某个连接到服务器的端口，正常情况下接收的主要是 HTTP/HTTPS 协议的流量，在攻击时可能会收到大量 UDP 或 ICMP 协议的流量。
- 查看端口错误统计信息：查看网络设备端口的错误统计数据，如 CRC 错误、帧错误、冲突等。这些错误可能是由于物理链路问题或大量异常流量导致的。在 DDoS 攻击期间，端口错误数可能会显著增加，这表明链路质量受到影响，需要进一步排查是物理链路还是攻击流量导致的问题。
二、网络链路优化
（一）流量控制与过滤
- 流量整形和速率限制
- 实施流量整形策略：在网络链路入口处设置流量整形设备或使用网络设备的流量整形功能，对进入链路的流量进行整形。根据网络的正常业务需求和带宽资源，设定合理的流量速率和模式。例如，对于非关键业务的流量，可以设置较低的优先级和速率上限，确保关键业务（如在线交易、视频会议等）的流量能够优先通过。在 DDoS 攻击发生时，流量整形可以缓解攻击流量对链路的冲击，使部分正常流量能够继续传输。
- 设置速率限制规则：针对不同类型的协议或端口，设置速率限制。例如，对于容易被用于 DDoS 攻击的 UDP 协议，可以在链路设备上设置 UDP 流量的最大速率限制。同时，对 TCP 连接请求的速率也可以进行限制，以防止 SYN Flood 攻击。通过合理的速率限制，可以有效控制进入链路的流量，减少攻击流量对链路的影响。
- 访问控制和过滤
- 配置访问控制列表（ACL）：在网络链路的关键设备（如路由器、防火墙）上配置 ACL，根据源 IP 地址、目的 IP 地址、协议类型、端口号等条件对流量进行过滤。在 DDoS 攻击后，可以通过分析攻击流量的特征，将已知的攻击源 IP 地址或 IP 段添加到 ACL 中进行封禁。同时，也可以只允许合法的业务流量通过，如只允许来自特定网段的用户访问内部服务器的特定服务端口。
- 采用入侵检测 / 防御系统（IDS/IPS）：部署 IDS/IPS 设备，对链路中的流量进行实时监测和分析。IDS/IPS 可以检测到多种类型的 DDoS 攻击，并采取相应的措施，如阻断攻击流量、发出警报等。这些设备可以根据预先定义的攻击签名和行为模式来识别攻击流量，提高网络链路的安全性。
（二）链路冗余和负载均衡
- 链路冗余设计
- 增加备用链路：为关键网络链路配置备用链路，当主链路遭受 DDoS 攻击或出现故障时，备用链路可以立即启用，保证网络的连通性。例如，企业可以采用双链路接入互联网，一条为主链路，另一条为备用链路，通过链路检测和切换机制，在主链路出现问题时快速切换到备用链路。
- 采用多路径路由协议：在网络中使用多路径路由协议，如 OSPF（Open Shortest Path First）的多路径功能或 BGP（Border Gateway Protocol）的多链路负载均衡功能。这些协议可以使数据包在多条路径上传输，增加网络的可靠性和灵活性。在 DDoS 攻击期间，即使部分链路受到攻击，数据包仍然可以通过其他路径传输，减少对网络服务的影响。
- 负载均衡策略
- 服务器负载均衡：在链路后端的服务器群前面部署负载均衡设备，将用户对服务器的请求均匀地分配到多个服务器上。这样可以避免某台服务器因遭受 DDoS 攻击而导致整个服务瘫痪。例如，对于一个 Web 服务网站，通过负载均衡器将用户的 HTTP/HTTPS 请求分配到多个 Web 服务器上，当其中一台服务器受到攻击时，其他服务器仍然可以继续处理部分请求，维持网站的正常运行。
- 链路负载均衡：对多条网络链路进行负载均衡，根据链路的带宽、延迟、丢包率等性能指标，将流量合理地分配到不同的链路。在 DDoS 攻击时，负载均衡设备可以自动调整流量分配策略，将攻击流量分散到多条链路或者将正常流量引导到未受攻击的链路，提高网络链路的整体抗攻击能力。
（三）链路性能提升
- 硬件升级
- 升级网络设备：如果网络链路经常受到 DDoS 攻击的影响，且现有设备性能不足，可以考虑升级网络设备。例如，更换更高性能的路由器或交换机，这些设备具有更强的 CPU 和内存处理能力，能够处理更多的数据包，减少在攻击期间出现性能瓶颈的情况。同时，升级设备的端口速率，如从千兆以太网端口升级到万兆以太网端口，可以提高链路的带宽容量，更好地应对攻击流量。
- 增加链路带宽：联系网络服务提供商，增加网络链路的带宽。足够的带宽可以在一定程度上缓解 DDoS 攻击的影响，使正常流量能够有更多的空间进行传输。但是，增加带宽并不是一劳永逸的解决方案，因为攻击者可能会增加攻击流量的规模来突破新的带宽限制。
- 优化链路配置参数
- 调整设备缓存和队列设置：根据网络链路的实际情况，优化网络设备的缓存和队列设置。适当增加缓存大小可以缓解瞬间高流量对设备的压力，减少丢包。同时，调整队列长度和调度策略，如采用优先级队列，使关键业务的数据包能够优先处理，提高链路的整体性能。
- 优化路由协议参数：对网络中使用的路由协议（如 OSPF、BGP 等）的参数进行优化。例如，调整路由更新时间、路由收敛速度等参数，使网络能够更快地适应链路状态的变化，在 DDoS 攻击导致部分链路故障或拥塞时，能够及时调整路由，保证数据包的有效传输。