配置IDC防火墙策略与上游清洗联动配置，关键不是简单放宽防火墙，而是确认攻击流量如何引走、清洗后的流量如何回来，以及各设备分别负责什么。以下六项可用于变更前检查和上线验收。
先把链路和策略边界画清楚
1. 确认引流、清洗和回注路径
先向上游服务商确认采用何种DDoS清洗方式。常见方式包括通过BGP引流到清洗节点，再经GRE回注清洁流量；也可能使用服务商提供的其他专线或路由方案。不同方式经过的设备不同，不能只按“流量已清洗”就推断防火墙看到的源地址、目的地址和入口接口。
- 列出受保护的公网地址段、业务入口和正常出口。
- 标明引流前、清洗后分别经过的路由设备及防火墙接口。
- 向服务商核对回注方式、下一跳、封装要求及故障时的处理方式。
如果防火墙只部署在正常入口，而回注流量从另一接口进入，原有规则可能无法命中；若回注路径绕过防火墙，则需先确认是否符合既定安全边界。
2. 规则按业务范围精确匹配
把清洗联动需要的规则与普通业务规则分开管理，写清地址对象、方向、接口、服务类型和用途。避免使用覆盖整个公网地址段的宽泛放行，也不要把“来自清洗平台”误解为“可信流量”。如果平台使用固定回注地址，可将其作为来源范围之一，但仍应限制可访问的业务目的地址和端口。
源地址白名单只适用于确有固定来源且经过核实的管理、回注等场景。业务访问来源可能变化时，不能用过大的白名单代替业务策略。
重点排查容易冲突的四处
3. 检查规则顺序与旧策略
多数防火墙按规则顺序或优先级匹配。新加的放行规则若排在拒绝规则之后，可能不起作用；若放在过宽的通用规则之前，又可能放大访问范围。上线前检查同一接口、同一地址对象上的重复规则，并确认清洗期间临时规则不会覆盖日常限制。
4. 核实回程路由与地址转换
清洗后的流量若从一条路径进入，而响应却从另一出口离开，可能形成非对称路由。启用状态检测的防火墙通常会关注连接的双向状态，不符合预期的回程可能被丢弃。还要核对地址转换是否改变了策略匹配对象：规则应基于设备实际检查时看到的地址，而非仅凭业务侧地址表推测。
测试时同时核对防火墙会话记录、命中规则和路由表。若服务商说明回注时保留客户端源地址，应按此条件检查策略；若地址经过转换，则以实际部署参数为准。
5. 明确故障切换和黑洞边界
与上游约定清洗节点不可用、引流撤销或链路中断时的动作和通知方式。黑洞路由会丢弃目标地址的流量，可能让正常业务也不可达，不应作为清洗失败后的默认恢复手段。需要采用临时封禁时，应限定目标、设置责任人和解除条件，并记录开始时间。
6. 先验证，再扩大范围
- 变更前导出防火墙规则与相关路由，记录当前配置及回退步骤。
- 选取一个获准测试的业务地址或服务，核对引流状态、回注接口和规则命中。
- 分别验证正常访问、清洗期间的访问及服务商切换后的路径，检查丢包、会话和告警。
- 出现误放、无法回程或命中错误规则时，按预先批准的步骤回退，并保留变更记录。
测试范围应与变更窗口、业务重要程度和服务商能力相匹配；不要在未确认影响面的情况下对生产地址发起攻击模拟。
上线验收：让两侧配置能够对照
把防火墙规则编号、上游保护对象、引流条件、回注参数、故障联系人和回退动作放入同一份变更记录。上线后对照双方的路由与告警信息，确认实际路径和设计一致。完成IDC防火墙策略与上游清洗联动配置时，验收重点应是流量走向可解释、放行范围可审计、异常时可恢复，而不是规则数量增加。
常见问题
清洗后还需要防火墙吗？
需要。清洗主要处理上游识别和过滤的攻击流量，防火墙仍承担业务访问控制等职责，两者策略应互补而非互相替代。
回注流量是否应该全部放行？
不应默认全部放行。应按回注来源、业务目标和必要服务范围设置规则，并以实际回注路径和地址参数为准。
什么时候考虑黑洞路由？
仅在确认业务可接受目标地址暂时不可达、且决策与解除流程明确时考虑。它是丢弃流量的手段，不等同于清洗。
配置后最先看什么？
先核对流量实际入口、回程路径和防火墙命中规则，再结合上游清洗状态判断是否符合预期。