高防IP卡顿、延迟、访问不通等问题排查

根据出现异常的高防IP配置的源站类型进行排查。

• 源站是负载均衡

  参照以下步骤进行排查。

  1. 针对负载均衡IP和端口，通过运行tcping工具，查看记录是否有异常。
  2. 查看负载均衡服务器状态（如连接数情况、后端服务器）是否有异常状态。
  3. 查看负载均衡是否设置黑、白名单，或者其他的访问控制策略，确认放行高防本身回源IP段。
  4. 查看负载均衡后端主机和网络，确认是否有防火墙IP封禁策略。
• 源站是服务器

  参照以下步骤进行排查。

  1. 针对服务器IP和端口，通过运行tcping工具查看记录是否有异常。
  2. 查看后端服务器是否有异常事件，如服务器本身黑洞及清洗事件、CPU高、数据库请求慢、出方向带宽满等。
  3. 查看服务器本身是否设置黑、白名单，或者其他的访问控制策略，确认放行高防本身回源IP段。
  4. 查看服务器或网络，确认是否有安全软件或其它IP封禁策略阻断高防回源IP。

• 高防IP有清洗事件

  参照以下步骤进行排查。

  1. 针对受攻击端口，通过运行tcping工具查看是否有延迟和丢包，并记录。
  2. 针对未被攻击端口，通过运行tcping工具查看是否有延迟和丢包，并记录。

  根据记录结果，对照下表查看问题原因。

  表1 记录结果

  受攻击端口是否有延时、丢包	未被攻击端口是否有延时、丢包	问题原因分析
  是	否	说明清洗策略未误杀，查看后端服务器状态是否异常，确认后端服务器抗攻击性能。如果服务器抗攻击能力较弱，则需要收紧防御策略。
  是	是	清洗策略误杀导致。请提交工单，需要进行后端排查。
  否	否	非清洗策略原因。
  否	是	一般不存在这种情况。

  上述前两种情况，建议您通过提交工单说明情况来处理。如果需要收紧防御策略，您需要提供服务器抗攻击能力的详细参数，包括：

  • 正常用户访问情况
  • 业务主要交互过程
  • 应用对外服务能力
• 高防IP没有清洗事件

  说明问题非攻击导致。

被攻击超过弹性峰值的高防IP会触发黑洞事件，请确认产生丢包的IP是否被黑洞。

建议购买更大带宽的弹性峰值，并且调整业务系统，使其具备切换能力。当线路被黑洞时，可切换至正常线路。