Quando o próprio dispositivo AntiDDoS se torna a interrupção — bloqueando tráfego de negócio real em vez de protegê-lo — este é o caminho rápido de volta: distinguir primeiro um falso positivo de um ataque não detectado, a captura de diagnóstico a executar antes de tocar em qualquer coisa, o procedimento de bypass para implantações fora de linha e em linha, como confirmar se realmente funcionou, e o ajuste de limiares que evita que aconteça de novo.
Por Yuwen Zhang (Atlas), fundador da AtlasCommTech — 13 anos de implantações de redes de operadoras e empresariais · Atualizado em julho de 2026
Um scrubber de DDoS que bloqueia clientes reais é uma interrupção autoinfligida — e exige uma resposta mais rápida e mais calma do que um ataque real.
Um dispositivo AntiDDoS que começa a descartar tráfego legítimo é uma emergência por si só: o impacto no negócio parece idêntico a uma interrupção, mas a correção não é um reparo de rede — é reconhecer que a própria política de defesa do dispositivo se tornou o problema, e desfazê-la rápida e corretamente. Acionar primeiro a alavanca errada (ou acionar a certa sem verificar o que realmente está errado) desperdiça exatamente os minutos que importam.
A seguir está essa resposta, diretamente do manual de recuperação de emergência do AntiDDoS: como distinguir isso de um ataque que realmente está passando, as informações que vale a pena capturar antes de tocar em qualquer coisa, o próprio procedimento de bypass para as duas formas comuns de implantação, como confirmar que realmente funcionou, e o ajuste que evita que aconteça de novo.
O bypass é a resposta certa para exatamente um desses dois casos — acerte esse diagnóstico antes de fazer qualquer outra coisa.
| Padrão de tráfego | Diagnóstico |
|---|---|
| O tráfego de entrada não aumentou de forma perceptível em relação ao normal, mas o tráfego que sai do outro lado do dispositivo AntiDDoS caiu de forma perceptível. | Falso positivo (误防) — a própria política do dispositivo está bloqueando tráfego que nunca foi realmente um ataque. Esta nota se aplica: prossiga para o bypass. |
| O tráfego de entrada aumentou de forma perceptível em relação ao normal, e o tráfego que sai do outro lado ainda é muito maior que o normal. | Ataque não detectado (漏防) — o ataque está passando, não está sendo bloqueado. Fazer bypass do dispositivo aqui remove a única defesa existente; a resposta correta é ativar a defesa mais rápido, não contorná-la. |
Errar esse diagnóstico em qualquer direção queima os minutos que importam — fazer bypass durante um ataque real, ou procurar tráfego de ataque que nunca existiu, ambos atrasam a correção realmente necessária.
Seis comandos, executados antes da recuperação — o registro que você vai querer ter quando a pressão passar.
| Command | What it captures |
|---|---|
| collect diagnostic information | O pacote completo de informações de diagnóstico para este incidente. |
| display firewall statistic system discard | Estatísticas de descarte de pacotes em todo o sistema — o que está realmente sendo descartado e onde. |
| display anti-ddos packet-trace statistic | Estatísticas de descarte específicas do processamento AntiDDoS — separando seus descartes dos descartes comuns do firewall. |
| display cpu-usage slot slot-id cpu cpu-id | O uso de CPU da placa SPU no momento do incidente. |
| display anti-ddos resource slot slot-id cpu cpu-id | Uso da tabela de recursos — se uma tabela está próxima da capacidade independentemente de qualquer ataque. |
| display firewall session table verbose | Uso da tabela de sessões no momento do incidente, para comparação com o estado pós-bypass. |
As implantações fora de linha e em linha falham de forma diferente, então o caminho mais rápido de volta também difere.
Nessa forma de implantação, o tráfego é desviado para o dispositivo AntiDDoS apenas quando algo parece errado — então desligar o desvio é a alavanca mais rápida, mas não é a única que precisa ser acionada.
[HUAWEI-100GE4/0/1] display this
interface 100GE4/0/1
shutdown
ipv6 enable
ip address 172.16.1.1 255.255.255.0
ipv6 address 2001:db8:1::1/64Nessa forma de implantação, o dispositivo fica fisicamente no caminho do tráfego em modo de Camada 2 transparente, então o caminho de recuperação depende de que tipo de hardware de bypass está realmente presente.
Mesmo objetivo, mecânica diferente — porque o tráfego chega ao dispositivo de forma diferente em cada implantação.
Os rótulos do diagrama permanecem em inglês para clareza técnica.
O bypass estanca a hemorragia — não corrige por que o falso positivo aconteceu em primeiro lugar.
[HUAWEI] reset anti-ddos blacklist slot slot-id cpu cpu-id
// clears the blacklist for one CPU only -- repeat for every CPU on the slot(s) in questionCada uma dessas já custou tempo real de recuperação para alguém.
SYMPTOMA interface voltada para o desvio está desligada no dispositivo, mas o tráfego afetado ainda parece estar sendo desviado ou bloqueado.
CAUSEAs tarefas de desvio, Flowspec e blackhole residem no SecoManager, independentemente do estado da própria interface — desligar a interface impede que o tráfego chegue fisicamente ao dispositivo por aquele caminho, mas não desativa as tarefas que voltariam a desviá-lo assim que a interface voltasse.
FIXTrate o desligamento da interface e a desativação das tarefas de desvio/Flowspec/blackhole do lado do SecoManager como uma única ação, não como uma sequência que pode ser interrompida no meio.
SYMPTOMO objeto de proteção foi removido pelo SecoManager, mas o dispositivo ainda parece estar descartando parte do tráfego.
CAUSEOs filtros de hardware são uma vinculação separada do objeto de proteção — remover o objeto de proteção não desassocia automaticamente um filtro de hardware já associado e que está descartando tráfego ativamente.
FIXDesassocie explicitamente cada filtro de hardware em Defesa contra Ataques > Filtro > Filtro de Hardware como um passo próprio, não como um efeito colateral presumido de remover o objeto de proteção.
SYMPTOMO comportamento do tráfego muda para serviços diferentes daquele que está sendo solucionado, logo após o objeto de proteção ser editado.
CAUSESe o IP afetado nunca teve seu próprio objeto de proteção dedicado, ele vem compartilhando o padrão junto com qualquer outro IP na mesma situação — desativar ali o desvio automático ou o blackhole automático muda o comportamento de todos eles ao mesmo tempo.
FIXConfirme se o IP afetado tem um objeto de proteção dedicado antes de editar amplamente, e entenda todo o raio de impacto antes de mexer no objeto padrão.
SYMPTOMreset anti-ddos blacklist foi executado uma vez, mas o mesmo tráfego legítimo continua sendo bloqueado.
CAUSEA lista negra dinâmica é mantida por CPU. reset anti-ddos blacklist slot slot-id cpu cpu-id só limpa a única CPU contra a qual é realmente executado — a lista negra permanece totalmente em vigor em todas as outras CPUs do slot.
FIXRepita o comando de reset para cada CPU no(s) slot(s) relevante(s); uma única execução não equivale a limpar o dispositivo.
[HUAWEI] reset anti-ddos blacklist slot slot-id cpu cpu-id
// must be repeated for each CPU to fully clear the blacklistSYMPTOMO procedimento de bypass é executado por completo, mas o impacto de negócio subjacente não melhora — ou piora.
CAUSEO bypass é a resposta correta apenas para um falso positivo. Se o tráfego de entrada está realmente elevado e o tráfego após o dispositivo continua elevado, isso é um ataque não detectado — fazer bypass remove a única defesa realmente necessária, em vez de restaurar o tráfego legítimo bloqueado.
FIXConfirme o padrão de tráfego em relação ao diagnóstico de falso positivo/ataque não detectado antes de iniciar o bypass, não depois que ele já estiver em andamento.
As que vale a pena ter uma resposta pronta antes do próximo incidente, não durante ele.
O desligamento da interface em si é quase imediato, mas não interrompe completamente o problema a menos que as tarefas de desvio, Flowspec e blackhole do SecoManager para aquele IP sejam desativadas ao mesmo tempo — trate os quatro passos como uma única ação a executar juntos, não como uma sequência para fazer um de cada vez sob pressão.
O dispositivo permanece fisicamente no caminho do tráfego o tempo todo, já que é implantado como Camada 2 transparente em linha — o tráfego continua fluindo por ele durante a mudança. Remover o objeto de proteção, desassociar os filtros de hardware e desativar as tarefas de blackhole/Flowspec tem o objetivo de impedir que o dispositivo aplique lógica de proteção a esse tráfego, não de removê-lo fisicamente do caminho.
Execute novamente as mesmas capturas anteriores à recuperação — tabela de sessões, estatísticas de descarte, estatísticas de packet-trace — e compare com os números de antes do incidente, e confirme separadamente que o próprio negócio afetado está acessível a partir de um cliente real, não apenas que os contadores do próprio dispositivo parecem mais calmos.
Somente depois de confirmar que é realmente isso que você quer — cada IP sem seu próprio objeto de proteção dedicado compartilha o padrão, então desativar ali o desvio automático ou o blackhole automático afeta todos eles de uma vez, não apenas o IP com problema no momento. Se isso for muito amplo, crie um objeto de proteção dedicado para o IP afetado.
Não há um intervalo fixo no manual para isso — a ordem certa é confirmar o que realmente causou o falso positivo (geralmente um limiar desatualizado ou uma mudança de negócio não considerada), ajustar essa política, e só então reativar a proteção durante uma janela de menor risco enquanto se observam novamente os mesmos contadores.
A lista negra é mantida por CPU. reset anti-ddos blacklist slot slot-id cpu cpu-id só limpa a CPU contra a qual é realmente executado, então tem que ser repetido para cada CPU no(s) slot(s) relevante(s) antes que a lista negra realmente desapareça em todo o dispositivo.
Esta nota é construída diretamente a partir do próprio capítulo de recuperação de emergência do manual de solução de problemas do AntiDDoS, cobrindo o caminho rápido de bypass por falso positivo para implantações fora de linha e em linha, e as operações do SecoManager por trás disso. Não cobre o lado do ataque não detectado do mesmo capítulo — habilitar a defesa rapidamente quando um ataque realmente está passando — e não substitui a referência de configuração subjacente do Flowspec ou blackhole. Para os comandos do dia a dia usados para notar primeiro que algo está errado, veja a nota complementar abaixo.
Diga-nos a forma de implantação — fora de linha ou em linha — e se você confirmou falso positivo em vez de ataque não detectado, e ajudamos você a agir rápido.