1. 评估你的业务需求与攻击风险

- 明确业务类型：网站、游戏、API或P2P；估算正常带宽峰值与突发峰值。
- 判断风险等级：是否有历史DDoS记录、是否属于敏感行业（如博彩、加密货币）。
- 制定目标指标：恢复时间（RTO）、可接受丢包、峰值并发连接数和预算上限。

2. 了解BGP与非BGP的基本差别

- BGP（多线/多ISP）：通过在机房或云中部署BGP路由，多家运营商同时承载IP，支持就近路由与主动切换。
- 非BGP（单线或运营商单一路由）：通常由单一运营商提供网络，路由单一，配置和管理较简单但弹性差。
- 结论：高可用与灵活转发首选BGP，预算和管理能力受限可考虑非BGP配合上游清洗服务。

3. 实际测试：如何验证提供商的网络质量

- 拿到测试IP后用ping、mtr/traceroute在不同时间段测丢包与延时。记录峰值和均值。
- 使用iperf/httpload模拟并发与带宽，观察丢包/延迟上升点。
- 要求查看BGP路由表：provider能否公布AS号、前缀、是否支持你自带IP（BYOIP）或要求托管。

4. 检查抗DDoS机制与清洗能力

- 询问清洗阈值（例如清洗触发在50Gbps/100Gbps/更高），清洗路径（本地清洗或回流到清洗中心）。
- 要求SLA与黑洞策略说明：黑洞会不会导致业务不可用？是否提供灰洞/挑战校验（如CAPTCHA、TCP challenge）。
- 实操建议：要求厂商在测试环境做一次小规模攻击演练，观察切换延迟与误杀率。

5. 配置BGP时的具体步骤（实操）

- 步骤1：获取AS号与前缀（自有IP时）或确认提供商是否可以announce你的IP。
- 步骤2：与至少两家上游ISP建立对等，配置BGP邻居（neighbor、remote-as），设置最佳路径策略（local-pref、med、community）。
- 步骤3：测试路由传播，使用whois、bgp.he.net检查到达情况并做MTR跨全网测路由变化。

6. 非BGP方案的配置与优化要点

- 使用单ISP时重点在链路冗余（双网卡/双路由）与上游提供的清洗服务。
- 可配合CDN或云端清洗（清洗后回源）以缓解上游压力。
- 在应用层做好限流、连接池、缓存与异常监控，降低被动流量的影响。

7. 切换与迁移实操步骤（从非BGP到BGP或跨机房搬迁）

- 备份配置与数据，准备回退计划（快照、DNS TTL短化至60s或更低）。
- 先在低流量时段同步数据并在目标机房完成BGP邻居与ACL测试。
- 切换时同时announce新前缀并withdraw旧前缀，监测路由传播（ROUTE PROPAGATION）、流量是否平稳；若异常立即withdraw并回退DNS或announce原路由。

8. 监控与长期维护要点

- 部署多点监控（PING、HTTP、SYN-ACK、流量阈值），并设置告警到短信/企业微信。
- 定期做路由泄露/劫持检测，订阅RPKI或配置ROA以减少被劫持风险。
- 与提供商保持联络链，当发生大流量攻击时能快速打开应急工单并协调清洗与路由策略。

9. 成本与决策矩阵（如何选择BGP还是非BGP）

- 如果你需要：高可用、跨境低延迟、多ISP冗余、可控路由与快速故障转移 -> 选择BGP（但成本和运维复杂度高）。
- 如果你预算紧张、流量可控且不常被攻击 -> 可选择高质量非BGP并结合第三方清洗/CDN。
- 建议表：小型站点非BGP+CDN，中大型或高风险业务BGP+多清洗中心+监控。

10. 问：BGP方案是否能完全防止DDoS攻击？

答：不能完全防止。BGP提供路由冗余与快速流量引导能力，配合上游清洗与本地防护能大幅降低影响，但大型攻击仍需清洗中心、限流与应用层防护综合应对。

11. 问：没有AS号或自有IP能否使用BGP？

答：可以通过提供商代为announce前缀（托管模式）或租用专用IP段；但若要完全控制路由，建议申请自己的AS号与前缀，并与提供商协商对等。

12. 问：如何在采购时验证厂商实际清洗能力？

答：索要历史攻击案例与流量峰值数据，要求进行模拟攻击测试（限定幅度），并检查SLA、切换时间与误杀率；现场或远程用MTR/iperf等工具在不同时间段做性能验证。

来源：如何选择香港高防服务器比较BGP与非BGP方案的优劣势