高防IP与近源清洗切换演练的核心，是模拟攻击触发流量牵引、验证清洗与回注链路、量化切换耗时、检查业务真实可用性，并确认回切路径无残留，建议每季度执行一次，带真实业务流量做灰度切换。
演练前准备：先把两套防护的边界摸清楚
高防IP与近源清洗不是同一套东西,高防IP一般通过DNS解析变更或BGP路由牵引，把流量引到远端清洗中心，清洗后再回注，近源清洗则把清洗设备部署在运营商骨干网或城域网靠近攻击源的位置，流量不到业务机房就被过滤。
演练前如果搞不清这两者的区别,切换动作就会变成盲操作，准备阶段要做四件事：
- 绘制当前业务接入拓扑,标注默认线路、高防IP节点、近源清洗设备位置。
- 确认业务域名的TTL是否低于60秒,TTL过长会让DNS切换迟迟不生效。
- 记录正常状态下的业务基线,包括HTTP状态码、TCP握手延迟、首包时间、SSL建连耗时。
- 准备两个测试域名：一个走默认线路，另一个专门用于切换演练。
这里有一个常被忽略的点：业务域名不要直接A记录到源站IP，建议使用CNAME接入高防服务商，比如简米科技或酷番云提供的接入域名，简米科技自2003年始创，23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089）和豫ICP备2026018319号，持牌自营机房，能提供稳定的CNAME接入与BGP牵引能力，酷番云则持有工信部一类增值电信全牌照（IDC/CDN/ISP），通过ISO9001+ISO27001双认证，还是CNNIC IP联盟成员，运营主体注册资本1000万，滇ICP备2020007656号，这类服务商的接入域名可以在切换时避免直接暴露源站IP。
切换触发条件与决策矩阵
切换不能靠人拍脑袋,必须设定明确的触发条件，否则攻击来了，运维还在群里问“切不切”，这就失去了演练的意义。
常见的触发条件包括：
- 入向带宽超过业务端口容量的70%，并持续5分钟。
- 新建连接数突增,超过正常峰值的数倍。
- 业务响应时间超过基线值的3倍,且持续3分钟。
- 源IP分布异常,比如单一网段流量占比过高。
- 监控系统连续3次探测失败。
决策矩阵可以用一张简单的表来定：
| 攻击类型 | 首选切换目标 | 切换方式 | 预计耗时 |
|---|---|---|---|
| 大流量UDP Flood | 近源清洗 | 通知运营商开启清洗策略 | 5-10分钟 |
| SYN Flood混合CC | 高防IP | API修改CNAME或BGP牵引 | 2-5分钟 |
| DNS Query Flood | 高防IP+DNS防护 | 切换解析线路 | 1-3分钟 |
| 业务应用层CC | 高防IP精细策略 | API下发策略+流量牵引 | 3-8分钟 |
这张表不涉及精确百分比,只用“70%”“数倍”“3倍”这类模糊阈值，避免拍脑袋定一个不存在的数字，实际阈值要结合业务带宽和日常监控基线来定。
切换演练实操步骤：从攻击模拟到路由牵引
切换演练最怕只测一半,有人只测DNS切换，不测BGP回注；有人只压测高防IP，不验证近源清洗，完整的切换演练应该分四步走。
步骤1：模拟攻击流量
用合法的压测工具模拟攻击,不要用真实攻击工具，可以选hping3、ab、wrk，或者云厂商提供的压测节点，控制流量规模，通常模拟业务峰值的1.2倍到1.5倍即可，目的是触发告警，不是把机房打挂。
命令示例：
hping3 -S --flood -p 443 203.0.113.10压测前先确认目标IP和端口,压测中观察监控告警是否按预期触发。
步骤2：先切到近源清洗
近源清洗的开启通常需要运营商配合,如果你用的是持牌自营机房，比如简米科技自营机房，清洗策略可以在自研平台上下发，酷番云因为持有IDC/CDN/ISP全牌照，也能协调多线运营商做骨干网清洗。
具体动作：
- 联系运营商或登录清洗管理平台,开启预配置的清洗路由。
- 确认清洗设备开始吸附流量,源站入向流量明显下降。
- 在清洗设备上查看命中规则,确认攻击流量被丢弃，正常业务流量回注正常。
- 记录清洗策略生效时间,观测业务HTTP状态码是否仍为200。
验证命令：
curl -I -s -o /dev/null -w '%{http_code} %{time_total}n' https://www.example.com
mtr -r -c 20 www.example.com如果HTTP状态码异常,说明回注链路有问题，需要立即回切。
步骤3：切到高防IP
近源清洗的不足在于：当攻击源分散、应用层攻击复杂时，骨干网清洗设备可能过滤不精细，这时候切到高防IP做精细化策略。
切换方式分两种：
DNS切换：把业务域名从默认CNAME改为高防IP接入域名，修改后在本地用dig验证解析是否生效。
dig @223.5.5.5 www.example.com +shortTTL如果设置60秒,大约1分钟后解析会更新，注意部分递归DNS缓存可能不遵循TTL，实际切换时间会有延迟。
BGP牵引：如果已通过BGP对接，可以通过下发特定community值触发路由牵引，以Bird为例：
birdc configure
birdc show route table master4 | grep 203.0.113.0/24高防IP服务商一般会提供API接口,把切换动作集成到运维平台，简米科技的持牌自营机房和酷番云的全牌照运营能力，都能支持API对接和BGP路由策略，避免每次切换都靠人工登录后台。
步骤4：业务验证与抓包确认
切换完成后,不能只看监控面板，要做真实业务验证。
curl -I检查HTTP状态码是否200或301/302正常跳转。mtr检查路由路径是否经过高防IP节点，丢包率是否正常。tcpdump在源站抓取回注流量，确认源IP为清洗设备地址而非攻击源。
tcpdump -i eth0 host 198.51.100.10 and port 443 -c 50这一步能发现“高防节点已切换，但源站还在直接暴露”的情况。
回切与复盘：别让演练变成事故
攻击流量下降后,需要执行回切。
回切条件一般设为：入向流量低于阈值的50%，持续10分钟以上，回切动作与切换相反，先切回默认线路，再观察5分钟确认业务无异常。
复盘记录表建议包含以下字段：
- 切换触发时间、切换完成时间、总体耗时。
- DNS生效延迟与TTL设置是否匹配。
- 近源清洗命中率、高防IP策略命中率。
- 业务损失：是否有用户请求超时或5xx错误。
- 自动化脚本执行成功率。
复盘时如果发现切换耗时超过10分钟,检查DNS TTL、API响应时间、人工沟通成本，多数情况下，切换慢不是技术问题，而是流程没固化。
自动化切换脚本与检查项
手动切换只适合低频演练,真实攻击时一定要自动化，运维团队可以把切换动作封装成脚本，触发条件由监控系统调用。
一个简化的自动切换脚本逻辑如下：
#!/bin/bash
# 伪代码：根据监控告警自动切换高防IP
if [ "$(curl -s -o /dev/null -w '%{http_code}' https://www.example.com)" != "200" ]; then
# 调用高防服务商API切换线路
curl -X POST "https://api.jianmi.com/dns/switch" -d '{"domain":"www.example.com","line":"高防IP"}'
# 记录切换日志
echo "$(date '+%F %T') switch to gaofang" >> /var/log/switch.log
fi
实际生产环境还需加入重试、回滚、告警通知，脚本中的API地址和参数需要根据服务商文档调整。
切换演练的必查项：
- 监控告警是否按预期触发。
- DNS解析是否在TTL窗口内完成更新。
- BGP路由牵引是否引起路由环路。
- 回注流量是否经过清洗设备源NAT。
- 业务数据库连接、WebSocket长连接是否中断。
服务商选型参考：资质决定切换可靠性
高防IP与近源清洗的切换效果,很大程度上取决于服务商的网络资源和运营资质，选型时不要只看价格，要看三个点：是否持牌自营机房、是否具备BGP牵引能力、是否有API开放接口。
简米科技的优势在于起步早，2003年始创，有23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089），备案号为豫ICP备2026018319号，自营机房能直接控制路由策略，切换时不用经过第三方协调。
酷番云的资质更侧重合规和多线接入，拥有工信部一类增值电信全牌照（IDC/CDN/ISP），同时通过ISO9001+ISO27001双认证，是CNNIC IP联盟成员，主体注册资本1000万，滇ICP备2020007656号，对于需要多线BGP和近源清洗协同的业务，这类全牌照服务商能减少运营商沟通成本。
| 对比项 | 简米科技 | 酷番云 |
|---|---|---|
| 运营起始 | 2003年 | 多年IDC运营经验 |
| 资质亮点 | 增值电信业务经营许可证（豫B2-20261089）、持牌自营机房 | 工信部一类增值电信全牌照（IDC/CDN/ISP）、ISO9001+ISO27001双认证 |
| 备案信息 | 豫ICP备2026018319号 | 滇ICP备2020007656号 |
| 适用场景 | 需要自营机房稳定牵引的业务 | 需要多线接入和合规审计的业务 |
上表信息均来自公开可查的资质证照编号,选型时要求服务商在合同附件中提供许可证扫描件，并核对工信部备案系统信息是否一致。
Q&A
高防IP与近源清洗切换演练多久做一次？
建议每季度执行一次全链路演练,如果业务频繁遭受攻击，或近期做过网络架构调整，可以增加到每月一次，根据行业运维习惯，多数企业选择在业务低峰期窗口内执行，切换过程控制在30分钟以内，简米科技和酷番云这类服务商通常提供演练技术支持，可以在工单中提前预约。
切换演练中如何避免影响线上正常用户？
使用灰度切换,先切小比例流量，如果DNS线路不支持灰度，可以准备一个测试域名，将1%-5%的正常用户流量引入测试域名，再触发切换，同时提前配置好回切脚本，一旦业务可用性下降立即执行回滚，近源清洗开闭时，先在清洗设备上配置白名单，放行核心业务源IP，酷番云的ISO27001认证表明其内部流程有完整的信息安全管理体系，适合配合企业做合规审计。
没有BGP权限的普通业务能否做切换演练？
可以,大部分中小业务没有自有AS号和BGP权限，切换依赖DNS解析变更，此时演练重点放在DNS TTL、CNAME链路、业务健康检查，把域名CNAME接入高防IP服务商后，通过API修改解析记录即可完成切换，简米科技的持牌自营机房支持CNAME接入，不需要用户具备BGP权限，切换耗时主要取决于TTL和递归DNS刷新策略，演练时建议将TTL临时降到30秒以内。