流量清洗设备组网

模式 A：清洗设备分别接核心、下游交换机（手册示例，二层回注）

• 连接：清洗设备一个口接核心（接收被牵引攻击流量），第二个口接下游 / 汇聚交换机（清洗完干净流量直接二层回注下游）H3C。
• 优点：核心上不用复杂策略路由；回注流量不走核心三层转发，避免路由环路风险。
• 缺点：需要占用清洗设备 2 个业务口，同时布线两台交换机。

模式 B：清洗设备只接核心交换机（单臂，推荐）

• 连接：清洗设备仅一套互联接口和核心交换机对接，流量从这个口进来，清洗完成后，干净流量又从同一个接口回注还给核心交换机H3C。
• 关键风险点：路由环路。清洗后流量还给核心，如果不做处理，核心看到目的还是被保护 IP，会再次 BGP 牵引回清洗设备，出现来回环路。
• 解决环路：在核心交换机清洗设备互联接口入方向配置策略路由，凡是回注回来、目的是受保护业务 IP 的报文，强制直接转发给内网真实下一跳，不再查 BGP 牵引路由，打破环路H3C。

注意：单臂模式下，服务器的上行出方向流量不会经过清洗设备，只能防护外网进来的 DDOS；CC 七层防护效果会受限，七层应用层攻击防护建议优先选双口分别接核心 + 下游的二层回注方案H3C。

单臂只接核心的配置要点

1. 清洗设备与核心建立 BGP 邻居，发布被保护 IP 的 / 32 主机路由，把外网攻击流量牵引过来。
2. 清洗设备完成清洗，干净流量原路送回核心交换机。
3. 核心侧必配策略路由 PBR：在对接清洗设备的接口 inbound 方向，匹配被保护 IP，设置下一跳为业务服务器真实网关 / 下一跳，绕过 BGP 牵引路由，防止环路。
4. 管理口单独管理，不要复用业务互联口。

选型建议

1. 如果只做网络层 DDOS（SYN/UDP/ICMP Flood），可以只接核心交换机，单臂模式，改造简单，不用动下游布线。
2. 如果需要做CC、HTTP 应用层防护，强烈建议按手册组网：清洗设备两个业务口分别接核心、下游交换机，二层回注，双向流量完整经过清洗引擎，防护效果完整。

常见踩坑

1. 单臂模式忘记配置核心侧入方向 PBR，出现路由环路，业务时断时续。
2. 策略路由只写 outbound，必须是对接清洗设备接口的 inbound 方向（流量从清洗设备回到核心的这个方向）。