Tb级DDoS已经不是极端情况了，反射放大、SYN Flood、UDP Flood和CC攻击经常一起发生，在机房里用本地防火墙只能维持几秒钟就会把出口带宽占满。唯一可行的办法就是把防线推到运营商骨干网上：当检测到异常时，用BGP通告来引导目标IP流量到清洗中心进行近端丢弃然后再注入干净的流量。
黑洞策略起到的就是保底的作用，在攻击峰值超过了清洗能力或者特征不能很快识别出来的情况下，上游会按照精确的IP地址发送Null0黑洞路由，用单个节点的网络连通性来保证整个机柜内的其他业务正常运行。阈值不能太低也不能太高，“永久黑洞”也不可以存在，要配合自动计时和人工复核的方式来进行操作，防止正常的用户受到长时间的误伤。
清洗中心按照四层至七层依次进行：ACL和指纹过滤、SYN Cookie、UDP反射源校验、HTTP行为建模、JS挑战以及API限流等。多线BGP使电信、联通、移动三方的流量分别就近接入到各个清洗节点上，Anycast把洪峰分散到了不同的区域集群中，单个节点的压力可以得到控制。
联动闭环需要三种能力：第一是业务侧有独立的AS号和可以调度的IP地址段；第二是运营商接口支持API化的路由修改以及FlowSpec策略下发；第三是整个流程从监控、判断到牵引再到回注都是秒级自动化的。如果没有这样的编排的话，在Tb级别攻击的情况下工单流转就会造成二次故障。
Tb级的防御并不是购买更大的带宽，而是在更上游进行丢弃。黑洞用来止血，清洗用来续命，运营商骨干网才是真正承载溢量的地方。大型站点要把路由权、检测能力和运营商清洗平台连接起来，才可以把中断时间由小时级降到分钟级。