黑洞路由与清洗中心的配合，本质上是“先精细过滤、后暴力丢弃”的两级策略：清洗中心在前端尽量分离正常流量，黑洞路由在清洗失效或攻击超量时直接扔包保住机房出口。
黑洞路由与清洗中心的分工，先别搞反
很多运维第一次接触抗DDoS时,会把黑洞路由和清洗中心当成同一件事，其实它们处理流量的逻辑完全相反，但又必须绑在一起用。
黑洞路由和流量清洗有什么区别
- 黑洞路由：在路由器上把某个IP或IP段的下一跳写成Null0，发往这个地址的数据包到了路由器就直接丢弃，不转发、不回ICMP错误。
- 清洗中心：通过BGP路由牵引或DNS解析调度，把原本流向源站的攻击流量先引入清洗集群，清洗设备识别攻击特征、过滤恶意包，再把干净流量回注到源站。
简单说,黑洞路由不管好坏全扔，清洗中心会挑出正常流量放行。
| 对比项 | 黑洞路由 | 清洗中心 |
|---|---|---|
| 处理方式 | 全部丢弃 | 过滤后回注 |
| 业务影响 | 正常用户也不可用 | 正常用户基本可用 |
| 生效速度 | 秒级 | 需要牵引和清洗时间 |
| 成本 | 几乎零额外成本 | 需要带宽和清洗资源 |
| 使用时机 | 兜底、攻击超量 | 常规DDoS防护 |
正因为这种差异,两者配合才能既保证业务在线，又防止清洗中心被超大流量打穿。
攻击来了，先走清洗中心还是先扔黑洞？
很多运维会直接问：是不是攻击一来就该黑洞？答案不是，黑洞是最后手段，不是第一反应。
游戏服务器被攻击用黑洞路由还是清洗中心
以游戏服务器为例,UDP反射攻击和SYN Flood是常见类型，玩家对掉线非常敏感，如果第一时间黑洞，等于直接把玩家赶走。
- 攻击流量小于清洗中心容量：优先走清洗中心，玩家能继续登录、匹配和结算，只可能遇到轻微延迟。
- 攻击流量超过清洗中心容量：清洗设备可能过载，这时再启用黑洞路由，牺牲一段时间的可用性，保住整个机房出口。
- 遇到混合型CC攻击：清洗中心先做协议校验和速率限制，如果正常玩家与攻击流量高度相似，清洗难度大，再考虑黑洞。
结论很直白：能用清洗扛住的，不用黑洞；清洗扛不住的，黑洞必须顶上。
配合的实操路径：从检测到回注
黑洞路由和清洗中心不是简单地同时开着就行,需要把路由优先级和触发条件设计清楚。
北京机房黑洞路由怎么配置，清洗中心怎么接
以常见的BGP网络为例,北京地区IDC机房的部署思路如下：
- 在核心路由器上预置黑洞路由,作为兜底，管理距离设置高一些，比如200，确保正常情况下不生效。
- 清洗中心旁挂接入核心路由器,通过eBGP或iBGP建立邻居。
- 检测设备或清洗平台发现攻击后,向核心路由器发布被攻击IP的/32路由，下一跳指向清洗中心。
- 核心路由器收到更具体路由后,优先把流量送到清洗中心，黑洞路由被覆盖。
- 清洗完成后,清洗中心通过GRE隧道或策略路由把干净流量回注到源站。
- 当攻击流量超过清洗中心阈值,清洗平台撤销/32路由，黑洞路由自动接管。
配置命令示例：
Cisco核心路由器上预置黑洞路由：
ip route 198.51.100.10 255.255.255.255 Null0 200Linux服务器本机临时黑洞：
ip route add blackhole 198.51.100.10/32华为设备静态黑洞：
ip route-static 198.51.100.10 32 NULL0 preference 200清洗中心BGP宣告更具体路由时,下一跳设置为清洗设备地址，这样流量路径会从“正常转发”切换到“先清洗再回注”。
清洗中心回注怎么避免环路
回注是配合里最容易出错的一环,如果回注流量再次命中策略路由，就会被重新送进清洗中心，形成环路。
- 回注流量入口做标记：在GRE隧道或VLAN接口上打上特定标记。
- 核心路由器对带标记的流量不做清洗牵引策略,直接查普通路由表转发。
- 清洗中心只接收从核心路由器单方向牵引来的流量,不回送相同路径。
这种“单向牵引、标记回注”的方法，能避免清洗中心和核心路由器之间出现流量打转。
黑洞路由会不会误伤正常用户？
会,而且误伤得很彻底，黑洞路由不是“过滤”，是“全部消失”。
黑洞路由会不会误伤正常用户
当黑洞路由生效时,发往目标IP的所有数据包都在路由器上被丢弃，正常用户的TCP握手、游戏连接、API请求全部中断，这也是为什么黑洞路由只能作为短期兜底，不能长期替代清洗中心。
- 正常用户会看到连接超时,而不是明确的拒绝响应。
- 对HTTP服务,用户体验等同于服务器宕机。
- 对游戏和实时通信,掉线会立即发生。
所以黑洞路由的启用条件,应该和清洗中心容量、攻击类型、业务容忍度绑定，而不是无脑触发。
企业部署黑洞路由多少钱，钱花在哪
黑洞路由本身几乎不产生额外费用,它只是路由器上的一条静态配置，真正花钱的地方在清洗中心。
企业部署黑洞路由多少钱
多数情况下,企业不会为黑洞路由单独付费，运营商或IDC通常把黑洞作为基础抗DDoS能力提供，但如果把黑洞路由作为自动触发的一部分，需要检测系统、BGP联动平台和运维人力，这些会有成本。
清洗中心的费用差异较大：
- 云清洗服务：按保底防护峰值和清洗带宽计费，常见包月或包年，攻击超过保底峰值可能产生额外费用。
- 自建清洗中心：需要采购清洗设备、服务器集群、交换机，以及机柜带宽成本。
- 混合方式：日常用小规格清洗资源，大攻击时临时调用运营商清洗或云清洗。
价格不是黑洞路由的问题,而是清洗带宽和误伤业务带来的损失，很多企业部署前会算一笔账：业务中断一小时损失多少，清洗服务一年多少钱，如果前者远大于后者，清洗中心的投入就合理。
一套能落地的配合步骤
不搞复杂理论,直接按下面顺序做：
- 先做流量基线：统计业务正常情况下的带宽、包速率、连接数。
- 在出口路由器上预置黑洞路由：目标段写清楚，管理距离高于正常路由。
- 接入清洗中心：通过BGP旁挂，或使用云清洗的DNS调度、BGP牵引。
- 配置检测触发：超过基线或特定攻击特征时，自动发布清洗路由。
- 设置黑洞触发阈值：清洗中心带宽上限、清洗设备CPU、正常业务丢包率。
- 攻击结束后自动撤销：先撤销黑洞路由，再回落清洗路由，最后恢复正常路由。
- 定期演练：模拟攻击验证切换路径、回注质量和业务恢复时间。
这套流程不依赖特定厂商,使用标准BGP和静态路由就能落地，多数机房和云平台都支持类似逻辑。
黑洞路由和清洗中心不是二选一,而是前后两道防线，清洗中心负责在攻击中保住业务，黑洞路由负责在清洗中心扛不住时保住整个网络，把两者的路由优先级、触发阈值和回注路径设计清楚，才能让抗DDoS从“被动挨打”变成“主动分流”。
Q&A：黑洞路由与清洗中心怎样配合的常见疑问
部署清洗中心后还需要黑洞路由吗？
需要,清洗中心有容量上限，而且某些攻击流量会直接打满清洗设备入口，保留黑洞路由作为兜底，可以在清洗中心过载或失效时快速切断目标流量，避免影响同机房的其它业务。
黑洞路由和清洗中心配合需要改造现有网络吗？
取决于现有网络是否支持BGP,如果出口设备支持BGP，通常只需增加清洗中心邻居和预置黑洞路由，如果不支持BGP，可以用策略路由或静态路由牵引，但自动化程度会下降，改造重点在核心路由器，不需要替换全部网络设备。
只开黑洞路由不接清洗中心，攻击时业务会怎样？
攻击期间目标IP会完全不可用,虽然是有效的“断臂求生”，但正常用户也无法访问，业务等同于主动停服，所以只开黑洞路由只适合攻击流量大到无法清洗，或者业务可以容忍短期中断的场景，对于大多数在线业务，清洗中心加黑洞路由才是可用的组合。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/656244.html
