企业迁移到香港时香港高防清洗云服务器的测试与验证流程

1. 准备与前提清单

在迁移前梳理清单：确定业务（App/API/网站）流量峰值、数据链路入口（BGP/IX）、DNS提供商；获取高防云服务商的清洗阈值、接入方式（透明清洗/回流/清洗机房）、控制台/API账号；准备测试主机（测试机与被测主机），并在源端与目标端各一台用于流量生成与监控。建议准备：ssh密钥、流量发生器（iperf3/hping3/wrk/ab/tcpreplay）、抓包工具（tshark/tcpdump）、性能监控（Prometheus/Grafana或云监控）。

2. 确认香港高防服务与网络接入方式

与提供商确认：是否为按带宽计费或按清洗峰值计费，清洗流程（边缘投递/回流清洗）、是否支持流量镜像、是否提供清洗日志（黑白名单、清洗阈值调节）和SLA。记录清洗阈值（例如Bps与PPS），并确认白名单/灰名单上报流程与联系人。若使用BGP接入，确保AS-path与路由策略在测试时可临时切换。

3. 搭建测试环境与网络拓扑

在香港高防云上建立测试环境：创建VPC、子网、EIP、负载均衡器（如有）并将业务实例部署至目标服务器。配置监控Agent（cpu/disk/net）、开启系统抓包（tcpdump -i any -w /tmp/capture.pcap）。在源端准备流量生成机，确保其公网出口带宽足够且不影响其他生产线。建立清晰的测试拓扑图（流量路径、清洗路径、回流点）。

4. 基线测试（迁移前后对比）

先做无清洗条件下的基线测量：使用iperf3测带宽（iperf3 -c -t 60），使用wrk/ab测应用吞吐（wrk -t8 -c200 -d60 http://ip/）。记录延迟、丢包率、并发连接数、95/99百分位响应时间。迁移到香港后重复相同步骤，确保正常业务性能未下降，再进入清洗测试。

5. 配置防护规则与清洗策略

在云控制台或通过API配置防护规则：设置WAF策略（常见恶意路径、注入、机器人）、ACL、速率限制（如同IP并发与每秒请求数）、黑名单/白名单。建议先在监控模式（观察）运行24小时，根据日志调整规则后再启用拦截。对基线业务流设定例外规则以避免误判。

6. 流量生成与攻击模拟（包含命令示例）

分步增加攻击强度并监控：先模拟合法高并发（wrk -t4 -c500 -d60 http://域名），再模拟TCP/UDP放大类和SYN/ACK洪流。常用工具与示例命令：hping3用于SYN洪（hping3 -S -p 80 --flood --rand-source ），iperf3用于大带宽UDP（iperf3 -c -u -b 5G -t 60），tcpreplay用于回放真实流量（tcpreplay --intf1=eth0 capture.pcap）。注意：攻击模拟必须在隔离环境或经对方书面同意的时间窗口内进行，以免违反法律与服务条款。

7. 清洗能力验证与观测指标

在发起模拟攻击的同时观察关键指标：浏览器/应用响应（200/500比率）、TCP连接建立时间、丢包与重传、清洗统计（被拦截流量量、清洗后流量返回到被测主机的有效流量）、PPS与Bps值。使用tcpdump/tshark实时抓包（tshark -i eth0 -w out.pcap）和云商提供的清洗日志比对，确认黑名单是否命中与误杀率低于可接受阈值（通常小于1%）。

8. 业务可用性与性能复测

在清洗开启状态下执行功能性回归：接口可用性、文件上传/下载、长连接稳定性（WebSocket/HTTP2）、数据库连接池是否有异常。用压力工具并发读取真实业务接口，监控错误率波动。若出现误杀，调整WAF规则或白名单，重复验证直到误判消除且防护生效。

9. 故障切换与恢复演练

演练DNS/路由切换流程：模拟流量突增并触发高防回流，确认DNS TTL切换时间、BGP路由切换延迟、回滚步骤。制定恢复流程：停止攻击流量-更新防护策略-逐步降级监控-最终恢复正常路由。记录RTO与RPO并与业务方达成一致。

10. 测试结果记录与验收标准

汇总测试报告：包含测试时间线、流量曲线图、清洗前后对照表（吞吐/延迟/错误率），列出所有触发的防护规则、误判案例与调整记录，以及最终验收结论（例如：在X Gbps攻击下应用持续可用、误杀率<1%、清洗延迟

11. 问：如何在不影响业务的前提下做清洗测试？

答：先在灰度环境或夜间低峰时段进行，通过先观察模式收集日志，使用白名单保护关键源IP/业务接口，逐步提高攻击强度，从低到高分段测试。通知相关业务方并准备回滚方案；必要时在测试前先做流量镜像到清洗链路而非直接攻击生产入口。

12. 问：常用的验证清洗生效的具体指标有哪些？

答：关键指标包括被拦截流量量（Bps/PPS）、被放行到业务的有效流量、应用错误率（5xx）、响应时间95/99百分位、tcp重传/丢包率，以及清洗日志中攻击特征匹配数。应结合抓包与清洗日志逐条核对确认清洗策略命中与误杀情况。

13. 问：测试过程中遇到误判或业务中断怎么办？

答：立即启用白名单或临时放宽策略，将误判请求样本导出交给厂商调整规则，回滚到上一个稳定配置，并在回滚后做补偿性流量验证；记录事件根因并更新检测/白名单策略，完成事故复盘与流程优化。

来源：企业迁移到香港时香港高防清洗云服务器的测试与验证流程