受攻击业务迁移至清洗集群的实施步骤，首先不是改路由，而是确认清洗集群能否接管目标业务、回源链路是否畅通，以及切换失败时如何退回。攻击期间操作窗口紧，若忽略回程路径或源站访问控制，流量虽进入清洗集群，业务仍可能不可用。
下文以公网业务入口和自有源站为通用场景，不预设行业或特定厂商。实施前应由网络、安全和业务值守人员共同确认变更范围、指挥人及回退条件。
先选方案：旁路清洗还是全量迁移
旁路清洗通常通过BGP引流，将受保护地址的入站流量导向清洗集群；清洗后的流量再经回注隧道送回原源站。源站位置和应用部署一般不变，适合源站仍可服务、主要需要过滤攻击流量的情况。它减少应用搬迁工作，但依赖路由配置、回注容量和双向路径协同。
全量迁移则把业务入口或服务承载整体切换到清洗集群一侧，再由集群连接后端资源。它适合原接入点已不稳定、旁路路径难以保障，或需要统一接管入口的场景；但涉及更多配置与依赖，源地址策略、会话保持、证书和访问控制都需复核，回退也通常更复杂。
| 比较项 | 旁路清洗 | 全量迁移 |
|---|---|---|
| 源站变化 | 通常保留原源站 | 入口或承载位置发生变化 |
| 主要风险 | 回程不对称、回注链路拥塞 | 依赖项遗漏、切换与回退范围较大 |
| 适用前提 | 源站可用，路由与隧道可控 | 原入口不可靠，且新路径已验证 |
受攻击业务迁移至清洗集群的实施步骤
- 圈定业务与地址。列出受影响的公网地址、端口、后端源站、依赖服务和当前路由，不把无关业务一并纳入。核对地址所有权及清洗集群支持的引流方式。
- 检查接管条件。确认集群已配置对应业务策略、转发目标和健康检查；核实容量以攻击期间观测到的流量及业务正常高峰为依据，预留余量，并确认回注链路、设备和跨区域路径没有单点故障。
- 准备源站与回程。若采用旁路，先建立并测试回注隧道，确认源站回包能沿预期路径返回。按集群出口地址配置源站白名单和防火墙规则；同时检查是否需要保留客户端源地址，以及日志、限速、会话状态会如何处理。
- 执行受控切换。记录变更前的路由和策略。依照已审批的变更流程发布BGP引流，或启用全量迁移的新入口；先处理明确受攻击的目标，再逐项扩展。每次变更后由网络侧确认路由生效，由业务侧检查连接和关键功能。
- 验证并持续观察。检查请求是否到达清洗集群、干净流量是否送达源站、回包是否正常，并查看丢包、连接错误、后端负载及健康检查结果。出现错误增长或业务探测失败时，立即按预定回退方案恢复，而不是临时叠加未经验证的规则。
- 稳定后复盘。保留切换时间、配置差异、告警变化和回退记录。攻击缓解后，先确认原入口和源站状态，再选择继续经清洗集群承载或分阶段恢复，避免同时改变路由与应用配置。
切换中最容易漏掉的检查
回程路径与源地址
请求经清洗集群进入源站，但响应若从另一出口直接返回，可能触发有状态防火墙丢弃或造成连接异常。应结合路由表、隧道状态和实际业务探测核实双向路径。若客户端地址被转换，日志中的来源信息也可能变化，需事先确认传递方式与审计要求。
健康检查与回退门槛
健康检查不能只判断主机可达，还应覆盖关键端口或业务响应。回退门槛可按错误率、连接失败、后端健康状态和业务探测共同确定，并明确由谁下令、恢复哪些配置。没有稳定的判据时，不宜在攻击高峰中反复切换。
常见问题
旁路清洗一定比全量迁移快吗？
不一定。旁路可能少改应用，但需要准备引流和回注；若隧道、路由或白名单尚未验证，切换仍会受阻。
切换时是否要关闭源站公网访问？
不能一概而论。应先确认清洗集群回源地址和访问策略，再按安全要求限制源站入口，避免误封合法回源或留下绕过清洗的通道。
攻击结束后能否立即撤销引流？
应先观察攻击态势、源站健康和新旧路径状态，再按既定流程回切。受攻击业务迁移至清洗集群的实施步骤应包含回退与稳定观察，切换成功不等于可以立即撤销保护。
