2. CDN流量清洗CDN是构建在网络之上的内容分发网络，依靠部署在各地的边缘服务器，通过中心平台的分发、调度等功能模块，使用户就近获取所需内容，降低网络拥塞，提高用户访问响应速度和命中率，因此CDN加速也用到了负载均衡技术。相比高防硬件防火墙不可能扛下无限流量的限制，CDN则更加理智，多节点分担渗透流量，目前大部分的CDN节点都有200G的流量防护功能，再加上硬防的防护，可以说能应付目绝大多数的DDoS攻击了。
3. 分布式集群防御分布式集群防御的特点是在每个节点服务器配置多个IP地址，并且每个节点能承受不低于10G的DDoS攻击，如一个节点受攻击无法提供服务，系统将会根据优先级设置自动切换另一个节点，并将攻击者的数据包全部返回发送点，使攻击源成为瘫痪状态，从更为深度的安全防护角度去影响企业的安全执行决策。 三．预防为主DDoS的发生可能永远都无法预知，而一来就凶猛如洪水决堤，因此预防措施和应急预案就显得尤为重要。
通过日常习惯性的运维操作让系统健壮稳固，没有漏洞可钻，降低脆弱服务被攻陷的可能，将攻击带来的损失降低到最小。1. 筛查系统漏洞及早发现系统存在的攻击漏洞，及时安装系统补丁，对重要信息（如系统配置信息）建立和完善备份机制，对一些特权账号（如管理员账号）的密码谨慎设置，通过一系列的举措可以把攻击者的可乘之机降低到最小。
2. 系统资源优化合理优化系统，避免系统资源的浪费，尽可能减少计算机执行少的进程，更改工作模式，删除不必要的中断让机器运行更有效，优化文件位置使数据读写更快，空出更多的系统资源供用户支配，以及减少不必要的系统加载项及自启动项，提高web服务器的负载能力。3. 过滤不必要的服务和端口禁止未用的服务，将开放端口的数量最小化十分重要。
端口过滤模块通过开放或关闭一些端口，允许用户使用或禁止使用部分服务，对数据包进行过滤，分析端口，判断是否为允许数据通信的端口，然后做相应的处理。4. 限制特定的流量检查访问来源并做适当的限制，以防止异常、恶意的流量来袭，限制特定的流量，主动保护网站安全。目前，DDOS攻击并没有最好的根治之法，做不到彻底防御，只能采取各种手段在一定程度上减缓攻击伤害。
请问报文在交换机中芯片转发流程是什么？从输入到输出？
感谢邀请!我大概解释一下交换机中芯片的转发流程，感兴趣的朋友可以了解一下。目前，交换机的核心芯片包括CPU和转发芯片。转发芯片又包括两类，大部分用的是ASIC，少量用的是NP，目前还有极少数的交换机使用的是CPU不同交换机转发芯片的差异ASIC又叫专用集成电路，是目前交换机使用最多的核心转发芯片。这个芯片的特点简单的说就是性能强劲，但是逻辑简单。
性能简单的意思就是转发性能非常强，而逻辑简单的意思是这个芯片内部的流程都是定好的，不能随便编辑和新增功能。NP又叫网络处理器，本来一般是用在路由器的芯片，特点是可编程，可以自定义很多复杂灵活的流程，但是性能可能比ASIC简单一些。原因很明显，ASIC逻辑简单，没有那么多花花肠子可以修改，所以性能最好，NP是牺牲了一部分性能丰富了功能。
目前业界的趋势也有ASIC和NP大一统的趋势，如Jericho的ASIC和华为的SoC形式的NP，都是这种类型目前，华为的交换机很多是基于NP的，国内交换机如果使用的是盛科或者博通的，那么基本是ASIC的，还有很少量的小交换机的确是基于CPU的。了解交换机的芯片转发流程中的一些概念不管用什么样子的芯片，交换机中芯片的转发流程是差不多的。
我们平时把报文在交换机中的转发分为控制面和转发面。转发面的意思是交换机收到报文后需要从出端口送出丢给下一个转发设备处理，控制面的意思是，交换机收到报文后自己处理，例如一些协议报文。那么交换机收到一个报文做什么事情呢？这里又涉及TCP/IP的结构了。简单的说，报文从减缓及的入口进入时，是从物理层处理到应用层的一个解封装过程，而从出口转发时，是一个反向的过程，从应用层到物理层的一个封装过程（如下图）。
二层交换机只有物理层、数据链路层的处理，三层交换机报文有物理层、数据链路层、网络层的处理报文在交换机的处理，分为上行和下行，可以简单的认为上行处理入接口的相关功能并查找报文应该如何转发，下行处理出接口的功能。报文在交换机芯片的处理流程介绍当一个报文从交换机的入口进入时，交换机会先处理物理层的内容，例如帧校验等。
处理完后开始解包，根据一定的格式获取数据链路层、网络层、甚至传输层的信息。例如普通二层交换机获取原MAC、目的MAC、VLAN信息，如果是三、四、七层交换机会获取原目的IP、原目的端口、协议等信息。在解包的同时，还会保存这个报文的一些特征数据，例如，这个报文是从交换机哪个端口进来的解包后，报文会暂时存在内存，根据解包信息进行后续的处理。
后续的处理依据是交换机内一个个“表项”。什么是表项？表项就是你配置或者自动生成的信息，这些信息在处理芯片里映射为一个个逻辑表项，用于指示下一步的处理。例如你配置了交换机某个端口是一个二层转发端口，那么交换机内这个端口就有一个表项，指示这个是一个普通的二层口。如果有VLAN配置，还会有表项，说明这个二层口配置了什么类型的VLAN，以及VLAN的类型等等，不同的芯片可能不太一样，大体的流程是一样的。
然后根据表项就开始处理。例如先看看你的这个报文是从哪个接口进来的，一查这个端口的表是一个二层接口，那么就开始二层处理流程，依据的是配置时生成的端口表项。然后进行下一步，检查发现这个端口是个VLAN接口，然后就开始VLAN的处理的流程，报文的VLAN自然是从刚才的解包过程中获得的，根据解包获得的VLAN和端口的VLAN规则进行处理。
符合规则的进入下一流程，不符合规则的丢弃。接下来就是转发的处理。如果是二层转发，那么就是查MAC表。前面讲过了各种“表项”可以是配置生成的，可以是动态生成的，MAC转发表就是动态学习生成的。当来一个报文，交换机在解包获取了报文的源MAC，就会生成MAC、端口和VLAN的对应关系。查MAC表就是依据目的MAC查找这个对应关系。
例如如果发现目的MAC是从某个端口学习来的，那么报文就会从那个端口丢出去。如果是三层转发，就不会查MAC表，就会继续查路由表。路由器表就是通过动态路由协议或者静态路由配置，获取哪个IP地址从哪个接口来的，然后依据目的IP查路由表，就可以找到正确的出接口。不过要注意的是，如果目的IP地址是三层交换机自己的，表明这个是发给自己的报文，那么IP报文可能是协议报文，会送到控制面，由CPU来处理咱们继续说普通的二层交换机的处理。
获取从哪个端口学习来的信息后，那么表示数据链路层处理完毕，这个时候完成了上行（入）的处理，接下来就是下行（出）的处理，报文也根据出接口的信息，从交换机上行转发到下行下行处理是一个反向过程，先处理VLAN相关的内容，例如重新封装，然后再处理数据链路层相关的内容。不过一般二层交换机不需要处理，三层交换机需要根据ARP表的内容，更改源目的MAC为自己的端口的MAC和互连网络设备的接口MAC，最后再进行物理层的处理，处理完后从内存获取处理完的报文发出去。
当然，有一些处理是和TCP/IP没有关系的。例如配置了QOS限速。那么在报文送到下行，查询下行的接口表时，接口表中会有限速相关的信息，这个时候还需要先完成限速处理，才能继续进行物理层处理转发出去。如果超带宽了，报文就直接丢了，不会继续转发这是一个大概的处理过程。当然越复杂的交换机的处理过程就更复杂，这些复杂的功能都体现为一个个连续的“表项“，固化在交换机的上下行流程里，可能不同的芯片有略微的差异，但是整体过程是差不多的。
