企业实战案例一：自建出口流量清洗服务器
自制异常流量清洗设备
目录：
1.环境介绍
2.网络结构
3.清洗原理
4.脚本实现
4.1 脚本结构介绍
4.2 awk获取异常IP地址
4.3 tcpdump获取异常协议
4.4 反向攻击抑制恶意意图
5.软件实现
6.定制Linux系统
一、环境介绍
国内互联网规模已在世界互联网的地位遥遥领先，各行各业的产生的数据正在快速速度增长，因此给互联网行业、传统企业、IDC机房等带来安全方面的威胁，如企业机房服务器或数据中心遭受异常流量攻击等，在传统的方案和传统的网络架构中采用传统的安全公司的产品，但是往往传统公司的产品功能大而全，导致某些功能不够精细，无法做到针对性设计，此时企业可以通过自建安全服务器，针对性对异常攻击等进行设计研发。
二、网络结构
现阶段网络架构流行结构如下：
出口接入层：多数采用应用交付型的负载均衡设备，首先本身可以做路由转发、链路负载、应用智能DNS、简易的防护等功能；
核心层：采用交换机虚拟化技术，如h3c的IRF、锐捷的VSU和华为的CSS技术，其好处便于管理、简化网络结构、故障主被缩短至ms级等好处；
接入层：多数采用交换机虚拟化技术，好处是方便对接虚拟化平台等。
根据现阶段的网络结构，自制异常流量清洗设备网络部署结构如下设计：
1.数据中心或机房内部的出口设备采用应用交付；
2.应用交付与运营商互联采用交换机互联，避免多家运营商互联中的其中一根链路异常，导致应用交付进行主被切换；
3.流量清洗在交换机旁路部署，交换机实施端口镜像，对业务流进行端口数据分析，统计IP流量的访问、协议的访问等；
三、清洗原理
当服务器探测到进入数据中心有异常流量时，自建服务器采用触发脚本进行连接交换机，开启交换机三层路由功能，同时生产一条32位的攻击对象的主机路由，转发到自建服务器上，目的是将异常流量引流至自建服务器，等待分析完成后，实施相关策略对阻止攻击，等待异常攻击停止后，再次自动恢复之前王结构，让网络处于正常运作模式。
核心技术：
1.交换机联动，自制服务器通过脚本实现对交换机进行操作；
2.交换机部署结构，有异常流量时，交换机模式的切换，正常流量任然走二层，异常流量进行路由转发至自制流量清洗设备；
3.交换机策略优化，流量清洗设备脚本、自制Linux系统的性能优化；
产品优势：
传统方法：是异常流量到达出口应用交付或路由器内部之后，利用防火墙等功能进行处理。
新型方法：是异常流量在在出口进入应用交付或路由器内部前，进行流量清洗。
相比叫而言，自定义结构和搭建的异常流量清洗设备能够针对性对流量进行处理，自定义某些库和自定义某些功能，不仅仅可以对流量进行清洗，任可以对数据进行统计。
4.脚本实现（待续，谅解）
4.1 脚本结构
4.2 awk脚本函数
4.3 tcpdump脚本函数
4.4 方向攻击防护