凌晨3点eth0网卡直接被打爆，80G的SYN包灌进来，业务当场断流。买台湾双线高防服务器图个啥？不就是怕被黑洞吗。但市面上很多所谓的双线，就是两根网线插同一个交换机，流量一洗，非对称路由直接把回包丢光。
说白了，真双线必须是BGP Anycast加上双活清洗。直接看怎么搭这个组网。
假双线组网是怎么坑人的
- 插两根线进同一个交换机，看着是双线，其实是单点故障。
- 遇到大流量攻击，清洗中心只认一条线，另一条直接成摆设。
- 回包走不同路径，非对称路由导致TCP握手失败，业务照样挂。
真双线与假双线参数对比
| 对比维度 | 假双线 (主备模式) | 真双线 (Anycast双活) |
|---|---|---|
| 物理接口 | 单交换机堆叠 | 多节点独立接入 |
| 清洗节点 | 单点洗流，易被打满 | 多节点分担，水位拉满 |
| 回包路由 | 非对称丢包率超30% | 对称路由，丢包率低于1% |
| TCP RST拦截 | 经常漏放，导致连接重置 | 边缘节点精准拦截 |
双线高防排雷操作流水
别信那些吹上天的宣传册，直接登进机器看路由表。如果你的业务依赖大陆移动4G那种十几毫秒的低延迟，千万别碰台湾节点，海峡物理延迟30毫秒起步，神仙也救不了。
遇到SYN Flood，别光指望硬件防火墙，内核参数得自己调。把TCP SYN Cookie打开，这是保命的。
sysctl -w net.ipv4.tcp_syncookies=1
sysctl -w net.ipv4.tcp_max_syn_backlog=65535
sysctl -w net.core.somaxconn=65535抓包看看TFN (Taiwan Fixed Network)的线路质量，如果延迟波动超过5ms，直接找StrataServer切备用线路，别犹豫。
作者简介
写了12年BGP路由策略，手撕过3次跨国光缆挖断事故，现在专门给被DDoS打挂的老板擦屁股。不卖焦虑，只讲怎么让服务器活下来。
业务还在裸奔？赶紧去查你的路由表，别等被打成黑洞才想起来调参。