Black Friday DDoS Defense: Surviving 960Gbps with Zero Downtime
1. 项目背景与目标
客户化名 「Aurora 家居」，主营家居与户外用品，面向北美市场，日均 UV 约 30 万，黑五峰值预计 10 倍+。上一年黑五遭受 380Gbps DDoS 被黑洞，停摆 48 分钟，直接损失约 240 万美元。
- 挑战：今年黑五流量预计达 85 万 UV/小时，同时预估攻击峰值可能破 1Tbps；原架构仅有 200Gbps 清洗能力，远不够。
- 目标：清洗能力提升到 ≥1.5Tbps，黑五期间 0 次黑洞，支付成功率 ≥96%，整体 TCO 不超过原方案 150%。
2. 技术方案概述
架构：美西 LA 本地清洗 + 美东 NYC 协同 + 全球 Anycast 引流 + 7 层 Bot 管理。
- L3/4 清洗：LA 1Tbps + NYC 500Gbps + Anycast 全球 2Tbps 协同，SYN Flood 阈值 ≥2000 万 pps。
- L7 防护：登录/支付/下单/搜索 4 条路径启用设备指纹 + JS 挑战 + 行为建模，合法请求误杀率 <0.15%。
- 弹性扩容：Web 层从 16 台预扩到 80 台（云主机 + 裸金属混合），数据库读写分离 + Redis 全页缓存，命中率 ≥94%。
- 监控：30s 粒度黑盒探测（LA/NYC/Dallas/Sin/FRA 5 点），任意 2 点同时告警自动切流。
3. 服务器与网络配置示例
| 层级 | 规格 | 数量 | 备注 |
|---|---|---|---|
| Web 应用 | 16C/32G/1TB NVMe | 80 台（LAX 50 + NYC 30） | 弹性伸缩，并发 ≥3000/台 |
| Redis 缓存 | 16C/128G/NVMe | 6 台 Sentinel | 全页缓存 + 购物车 |
| DB 主 | 64C/256G/4×7.68TB NVMe | 1 台 (LAX) | RAID 10，IOPS ≥12 万 |
| DB 从 | 64C/256G/4×7.68TB NVMe | 4 台 (LAX2+NYC2) | 读负载 + 备份 |
| DDoS 清洗 | 1Tbps (LAX) + 500Gbps (NYC) | 2 中心 | SYN 阈值 2000 万 pps |
| 国际带宽 | 10Gbps ×3 | 3 条 | 95 峰值封顶 30Gbps |
4. 真实数据对比（上线前 vs 上线后）
| 指标 | 去年黑五 | 今年黑五 |
|---|---|---|
| 最大攻击峰值 | 380Gbps | 960Gbps |
| 黑洞次数 | 1 次（48 分钟） | 0 次 |
| 清洗成功率 | 62% | 99.98% |
| 合法请求误杀率 | 3.2% | 0.11% |
| 支付成功率 | 87.3% | 97.8% |
| 结算页 P99 | 5.9s | 2.3s |
| 黑五 GMV | 基准 100% | 增长 186% |
5. 业务增长与技术分析
- 今年黑五实际遭遇 960Gbps SYN+ACK+UDP+HTTPS 慢速混合攻击，全部被 LA 本地 + Anycast 协同清洗中心消化，用户端零感知。
- 清洗成功率从 62% 提升到 99.98%，误杀率从 3.2% 降到 0.11%，合法请求几乎不受影响，支付成功率比平时还高。
- 黑五当天 GMV 同比增长 186%，远超年初预期的 130%；按客单价 $150 估算，黑五期间新增 GMV 约 920 万美元。
6. 实施建议与注意事项
- 提前压测：黑五前 2 周做 2 次红蓝对抗，模拟 1.2Tbps 攻击 + 120 万 UV 流量叠加，确保清洗与扩容链路通畅。
- 多线路容灾：LA + NYC 双中心清洗，Anycast 全球引流，避免单清洗中心被打满；DNS TTL 设 30s 实现快速切流。
- 合规：用户访问日志保留 30 天，审计日志 ≥12 个月，满足 CCPA/CPRA 与 PCI DSS 要求。
- 成本：高防扩容虽增加约 40% 成本，但避免了去年 240 万的损失，ROI 非常明显。