1.1 明确业务目标:列出应用类型(网站/游戏/API)、并发连接数、峰值带宽与容忍的最大丢包/延迟。
1.2 确定防护级别:根据风险评估选择防护带宽(例如20Gbps/100Gbps/可达清洗中心带宽),明确是否需要应用层(7层)清洗。
1.3 收集网络信息:准备现网公网IP、ASN、BGP或单机接入方式、现有CDN/负载均衡架构,便于供应商评估接入方案。
2.1 排序维度:按防护峰值(Gbps)、SLA可用性、真实案例与演练记录、清洗延迟(ms)、价格/年、技术支持响应时间排序。
2.2 数据来源:索取厂商提供的历史攻击报告、第三方测评、客户推荐信与可现场验证的攻击回放日志(pcap或净化前后流量对比)。
2.3 实操建议:先在候选供应商中做测试(见第4步),再根据结果结合价格与合同条款确定最终排名与选择。
3.1 获取报价:向选定的3家以上供应商索要基于相同需求的详细报价单,包含带宽峰值、按分钟计费或包月、额外清洗费用。
3.2 技术沟通:与供应商工程师确认网络接入方式(BGP Anycast / GRE隧道 / 专线),并要求提供接入手册与测试账号。
3.3 协商SLA:明确计费触发条件(按攻时报表/清洗开始时间)、赔偿计算方式、免赔条款与争议处理流程。
4.1 准备测试环境:在低峰时段安排生产流量旁路或用内测环境模拟真实流量,确保可恢复快照。
4.2 发起演练:让供应商在受控条件下触发小规模攻击(需签署演练协议),记录清洗前后延迟、丢包、最大带宽变化和恢复时间。
4.3 验证日志与告警:索取清洗事件的原始pcap、NetFlow或日志,核对防护触发时间与通知机制是否与SLA一致。
5.1 基本SLA要素:明确可用率、清洗启动时长(秒或分钟)、最大恢复时间、月度/季度赔偿上限与计算公式。
5.2 服务范围与免责条款:明确是否包含7层应用防护、误报误阻的申诉与补救机制、因客户配置错误导致的问题责任划分。
5.3 数据与隐私:列出日志保存时长、是否允许第三方审计、数据归属、合规性(如个人资料保护要求)。
6.1 网络切换步骤:按接入手册完成BGP宣告或建立GRE隧道,先在低流量时段做流量引导验证,确认路由优先级与社区标签。
6.2 防护规则调优:初期设置宽松策略,记录误拦截事件后逐步细化白名单/黑名单、速率限制与验证码策略。
6.3 监控与告警集成:将防护告警接入现有监控(例如Prometheus/ELK/邮件+短信),并配置自动化脚本在故障时切换回备份线路。
7.1 答:要求供应商提供历史攻击案例、第三方测评报告、可验证的攻击pcap或NetFlow,并在合同中加入现场演练条款;进行一次受控演练并比对延迟、丢包与清洗带宽。
8.1 答:常见陷阱包括:模糊的“最大防护带宽”定义、按流量计费的隐藏费用、免责条款过宽。规避方法是:把关键指标量化写入SLA,限定赔偿公式与上限,并保留第三方仲裁或定期审计权利。
9.1 答:建立定期演练与回顾机制(季度),根据实际攻击日志调整防护规则;使用混合方案(CDN+高防+本地防火墙)分级防护以降低清洗成本;与供应商协商按年预付或保留包年带宽获得折扣,并监控使用率按需调整配额。