1.
目标与总体架构概述
目标：实现日本本地高防资源与公有云防护的协同，实现低延迟访问与高可用防护。
小分段：1) 本地高防用于TCP/UDP高流量清洗及速率限制；2) 云端（CDN+WAF+云清洗）用于边缘缓存、应用层防护与全局告警；3) 使用智能DNS或BGP Anycast实现流量引导与故障切换。
2.
前期准备与资源清单
步骤：1) 确认日本高防服务器（运营商、带宽、清洗能力）；2) 选定云厂商（如AWS、阿里云、Azure）并开启WAF、CDN、云清洗服务；3) 获取域名并准备DNS服务（支持GeoDNS/Failover）；4) 准备证书与密钥管理。
Tips：记录每个资源的API凭证、联系人与SLA。
3.
网络拓扑与流量路径设计
步骤：1) 设计两条主要路径：优先走CDN/云清洗 -> 回源到日本高防服务器；备用路径为直接指向高防并触发清洗；2) 若使用BGP Anycast，在骨干节点做任意播；3) DNS：主记录指向CDN的CNAME，备用A记录指向高防IP。
示例：域名example.jp -> CNAME cdn.example.net（主），A 203.0.113.10（高防直连备用）。
4.
步骤：1) 在服务器上限制管理面板IP（iptables或云防火墙）；2) 在边界启用速率限制策略：例如使用iptables connlimit、tc限速或nginx limit_conn/limit_req；3) 部署日志收集（Filebeat/rsyslog）并推送到集中日志系统。
命令示例：iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 100 -j DROP。
5.
云端WAF/CDN与云清洗配置步骤
步骤：1) 将域名接入CDN并开启全站加速与证书管理；2) 在WAF中配置常见规则（SQLi、XSS、恶意UA、机器人行为）；3) 启用云清洗（DDoS防护）并设置异常流量阈值与自动切换策略。
示例：在云控制台设置“自动清洗阈值：流量峰值>500Mbps触发”，并设置报警至值班群组。
6.
DNS与故障切换具体配置
步骤：1) 使用支持健康检查的DNS（如阿里云DNS、Route53）：主记录指向CDN，健康检查失败则回退到高防A记录；2) 配置TTL为60秒至300秒以缩短切换时间；3) 在高防侧开启被动清洗并结合云端告警。
示例：Route53配置健康检查->基于HTTP 200返回；主域名权重路由或Failover路由配置。
7.
证书、会话与回源配置细节
步骤：1) 在CDN端配置HTTPS证书并选择回源协议（HTTPS或HTTP），建议回源使用HTTPS并验证证书；2) 若使用负载均衡器，确保X-Forwarded-For与真实IP转发；3) 在高防上配置真实IP获取，例如在nginx中使用 real_ip_header 和 set_real_ip_from。
nginx示例：set_real_ip_from 10.0.0.0/8; real_ip_header X-Forwarded-For;
8.
监控、告警与日志汇聚实施步骤
步骤：1) 将流量/请求日志集中（ELK/Opensearch），并建立可视化仪表盘显示QPS、带宽、异常源国别；2) 配置实时告警（邮件/IM/电话）并定义阈值（如5分钟内流量上升300%）；3) 为关键设备启用SNMP/Prometheus采集硬件/链路指标。
建议：使用Geo-IP映射快速定位攻击源。
9.
自动化与运维演练（SOP）
步骤：1) 制定攻击响应SOP：检测->确认->切换->清洗->回收；2) 使用脚本与API实现一键切换：示例脚本调用DNS API将A记录切到高防IP并调整TTL；3) 定期（每季度）做故障演练与DDoS模拟（注意合规与告警告知）。
脚本示例：curl -X POST "https://dns.api/records" -d '{"type":"A","value":"203.0.113.10","ttl":60}' --header "Authorization: Bearer TOKEN"
10.
性能测试与安全测试步骤
步骤：1) 使用压力测试工具（wrk、hey）在非高峰做回源性能测试，验证限流配置；2) 使用合规的DDoS压力测试服务做高流量演练并确认云清洗切换行为；3) 进行WAF规则误杀测试（模拟正常用户交互）并调整白名单。
注意：测试应在维护窗口并通知运维/合规团队。
11.
故障恢复与回收流程
步骤：1) 攻击结束后，先在低流量时将流量逐步从高防回导到CDN，观察1-2小时无异常再完全回收；2) 清理攻击产生的临时规则与黑名单，保存攻击样本用于规则优化；3) 更新SLA文档并复盘（RCA）。
要点：回收过程中保持TLS/证书一致性，避免中断。
12.
安全合规与合法性注意事项
步骤：1) 在日本部署时遵守当地隐私与网络法律（如个人信息保护法）；2) DDoS演练需与网络提供商、云厂商沟通并取得授权；3) 记录所有操作日志便于审计。
建议：和日本当地运营商/清洗服务签署SLA并保留中文/日文文档。
13.
问：混合部署中应如何选择主流流量入口——CDN优先还是高防直连？
答：推荐以CDN/云清洗为主流入口，理由是CDN可以提供边缘缓存与全球分发，减少源站负载；在突发大流量时云清洗能更快吸收并筛选应用层攻击。高防直连作为备用或用于必须在日本本地处理的特定业务（如金融合规回源）。实施上用DNS健康检查与低TTL实现自动回退。
14.
问：如何确保回源时真实客户端IP不丢失？
答：在CDN/负载均衡器处启用X-Forwarded-For或自定义头透传，并在高防/应用层（如nginx）配置real_ip_header与set_real_ip_from以信任CDN/负载均衡器的IP段，必要时在WAF处也开启真实IP恢复功能。同时日志格式应记录该头信息，便于溯源。
15.
问：遇到大规模流量攻击时，怎样衡量何时从云端切换到高防？
答：建立明确阈值（带宽、连接数、异常请求率），例如5分钟内带宽>总带宽的70%或连接数激增300%，并结合WAF命中率。如果云端清洗命中率低且回源压力持续上升，触发DNS或BGP的故障切换把流量引向日本高防或清洗中心；切换动作应自动化并有人工确认步骤以避免误切。
来源：混合部署策略探讨日本服务器高防与云端防护的协同方法
