Anycast 多机房防护：单机房被打满流量无法分流、其余节点带宽闲置问题解决

V2EX = way to explore

V2EX 是一个关于分享和探索的地方

现在注册

已注册用户请登录

问题描述现有全球 20 个机房，单机房出口峰值带宽 500Gbps ，业务网段采用 Anycast 方式全网统一宣告。正常业务流量下流量可均匀分散至各节点，带宽资源利用率良好。

但遭遇 DDoS 攻击时存在明显缺陷：

若攻击者定向针对单一机房节点发起大流量攻击，该节点 500Gbps 带宽被快速打满后直接瘫痪不可用；此时撤销攻击机房路由宣告，根据 BGP 选路原则流量会进入 19 个机房的其中一个，最终结果还是一样被打死，最终形成多米多骨牌；

请问该如何彻底解决该问题？

8 条回复 • 2026-04-23 16:16:45 +08:00

NewYear

1 天前

放弃这个架构。
自己调度节点会好点。

DDOS 的本质是伪造 IP ，互联网谁都不管伪造 IP 这个事，各个运营商接入商谁都闭着眼睛当做看不见，才导致成为了问题。

jonathan001

1 天前

@NewYear 自己调度节点也需要解决入口流量问题。不好搞。

NewYear

1 天前

@jonathan001 #2

问题是运营商是黑盒，你啥都控制不了。

技术上你控制不了，钱你有没有嘛，如果你有钱也可以买防御 ddos 的，本质上还是烧宽带烧钱。

jonathan001

1 天前

@NewYear 我什么也没有，就像知道底层的运作原理，从而开开眼界。

mytsing520

PRO

23 小时 59 分钟前

CloudFlare 的边缘数据中心运作方式和你这个是一样的

jonathan001

17 小时 11 分钟前

@mytsing520 不知道他们是如何解决某一机房带宽被占满的情况。

mytsing520

PRO

17 小时 7 分钟前

@jonathan001
首先每个机房带宽本身就很大
其次，来自同一个地区的流量不会只指向同一个机房，而是多机房互备

当然即便如此他们最近也遇到过几次全球所有机房带宽差点被打爆的情况

jonathan001

16 小时 47 分钟前

@mytsing520 那他们也没解决这个问题，只是带宽大硬抗