旁路与串联清洗部署怎么定：5步比较流量路径和切换条件

选旁路还是串联，关键不在名称，而在攻击流量能否及时进入清洗设备、正常流量是否必须经过设备，以及设备故障时业务如何继续。判断攻击流量清洗中心的旁路与串联部署取舍，可按下面五步核对真实流量路径与切换条件。

第1步：画出攻击流量和回程路径

先从路由器、防火墙和业务服务器的网络图入手，标出公网入口、核心交换设备、清洗中心及回程路径。分别确认正常访问和攻击流量经过哪些链路，并核对去程、回程是否对称。若清洗后的流量从另一条路径返回，可能出现状态检查不匹配或流量绕行，部署前就应确认相关设备能否处理。

旁路部署通常通过流量镜像观察流量，或在发现异常后再把目标流量牵引至清洗中心；日常业务不必经过清洗设备。串联部署则让指定流量直接经过清洗设备，路径清晰，但设备和链路也进入业务转发链路。

第2步：确定检测与切换方式

逐项写明谁发现攻击、谁发起切换、流量如何导入清洗中心，以及何时撤销牵引。旁路模式下，镜像适合检测分析，但镜像流量本身不会自动替代转发流量；需要额外设计牵引与回注。串联模式可持续检查经过设备的流量，通常不必等到攻击发生才改变路径，但要验证设备处理能力及策略配置。

第3步：比较两种部署的业务影响

不能只比较设备标称吞吐量。应按业务高峰流量、攻击期间的流量形态、并发连接和策略复杂度核实容量；实际需求会随协议、包长及启用的检测功能变化。小包流量或复杂规则可能比单看带宽更考验处理能力。

第4步：把故障和回退条件写清楚

明确清洗设备不可用、清洗效果异常、误拦截增加或链路拥塞时的处置人和回退步骤。串联方案要决定采用故障放行（fail-open）还是故障阻断（fail-close）：前者倾向于维持业务连通，但故障期间可能失去防护；后者可避免未检查流量通过，却可能扩大业务中断。旁路方案也要定义何时停止牵引、如何恢复原路由，并检查撤销后是否残留策略。

第5步：演练后再确定方案

1. 在不影响生产的测试环境中核对正常路径、回程和清洗回注路径。
2. 模拟目标流量进入清洗中心，确认切换触发、路由变化及业务连接表现。
3. 分别测试设备故障、误判和链路中断，记录告警、回退责任人与恢复检查项。
4. 验证撤销牵引或恢复串联路径后，路由和安全策略回到预期状态。
5. 将阈值、操作权限、联系人和复核方式写入变更流程，定期复演。

如果网络拓扑、牵引方式或故障回退流程尚未梳理清楚，可在方案讨论阶段咨询德讯电讯，重点让服务方依据实际链路说明部署边界、切换责任和演练安排；具体能力与服务范围应以双方确认的方案为准。

结论与常见问题

日常流量不宜额外经过清洗设备、且具备可靠牵引和回退能力时，旁路更灵活；需要持续检查指定流量、并能承担设备进入转发链路的风险时，可评估串联。最终的攻击流量清洗中心的旁路与串联部署取舍，应由流量路径、切换时效和故障策略共同决定。

旁路是否等于不清洗流量？

不是。旁路常见做法是先观察或检测，攻击出现后再将目标流量牵引至清洗中心；具体仍取决于部署方案。

串联设备故障时一定会断网吗？

不一定。是否放行取决于设备冗余、旁路能力及fail-open或fail-close策略，必须通过故障演练确认。

只看峰值带宽能选定设备吗？

不能。还需核对包长、并发连接、检测规则和清洗回注路径，并以实际测试或服务方案验证容量。