网苑杂谈之网络基础篇——基于网络topo看DOS攻击

前边我们了解了一下什么是DOS攻击，什么是DDOS攻击，攻击的原理等细节，也了解到了DDOS的危害。今天我们脱离技术细节，站在组网的角度宏观的再看一下DDOS攻击和防范。

既然是基于组网的，那我们先上一个topo;

TOPO简单说明一下：

这个可以看做是一个运营商的城域网示意图，其中黑框中的两台设备是城域网的出口网关，整个城市的流量进和出都是从这两台设备经过的。

基于组网的DDOS攻击示意：

基于组网来看，这时候DOS攻击可能出现两种情况。

第一种情况：攻击某台具体设备，阻断单台设备的服务能力。比如红框中的设备，这时候攻击者通过操作僵尸网络可以对红框内的设备发送dos攻击，使其失去服务能力。这可以形象的理解为是一群坏蛋去袭击了一个商店，通过堵住商店门口，使其他人不能进入商店，从而使其失去对其他人提供服务能力，达到DOS攻击的目的。

第二种情况：攻击网络中的关键路径或者节点，阻断整条通信路径。比如上图中，攻击者有可以通过操纵僵尸网络，攻击黑框中的两台设备得上行链路，即连接CMNET的两条链路，使这两条链路拥塞和阻断，这时候虽然城域网内的设备链路都是空闲的，但是由于总入口被阻塞，向内和向外的数据都无法传输，从而实现对于整个城域网的攻击。还是上边的例子，这可以形象的理解成一群坏蛋想要袭击一个商店，但是不是直接袭击商店本身，而是通过堵住前往商店的必经之路，使商店与外界隔绝，从而使其失去对外提供服务的能力，达到DOS攻击的目的。

两种攻击的防范：主要还是流量清洗。

对于情况一来说，关键节点上的流量接收之前，先要经过一台流量清洗设备，将异常流量筛选掉，使目标设备免受攻击，一般情况下会单独部署流量清洗设备。

对于情况二来说，情况要严重和复杂的多，因为城域网内的用户并没有直接被攻击，所以也无法直接防范，这时候通常需要求助上一级的网络管理员，基于更大的范围开展流量清洗的行动，来解决这个问题。

好了，小伙伴们，今天的讲解就结束了，希望大家能或多或少有所收获，欢迎留言交流碰撞，一起讨论提升。