BGP牵引与DNS切换在攻击应急中的取舍，首先看攻击流量打到哪里、需要改变什么。若流量已压满网络链路，改域名解析未必能让链路恢复；若故障集中在某个站点或服务端点，调整解析可能更直接。应急前先确认目标前缀、域名、备用资源及回退负责人，避免边处置边猜测影响范围。
先分清两种手段改变的对象
BGP牵引：改变路由去向
BGP牵引通常通过发布或调整路由，让目标网段的流量先到具备流量清洗能力的上游或清洗中心，再将可用流量转回业务网络。它针对的是路由层面的流量入口，适合受攻击地址集中、网络链路承压，且服务方有可用清洗路径的情况。运营方需确认前缀归属、通告权限、清洗容量和回程路径；路由传播需要时间，实际收敛速度取决于网络和配置，不能假定所有地区同时生效。
它的优势是可覆盖直接访问目标 IP 的流量，不依赖用户重新查询域名；局限是影响可能覆盖整个被通告前缀，且清洗路径配置不当会造成业务绕行、丢包或不可达。错误通告、前缀范围过宽及回程不对称都应纳入变更检查。RPKI ROA 可帮助验证部分路由起源授权，但不能替代通告审核和现场监测。
DNS切换：改变后续解析结果
DNS切换是把域名记录指向备用地址、备用站点或具备承载能力的入口。它适用于主站点故障、单个服务端点异常，或备用环境已同步数据且通过健康检查的场景。其优势是按域名调整，通常比改动网络路由更细；限制是只影响之后发生的解析，递归解析器和客户端可能缓存旧结果。TTL较短有助于缩短部分缓存时间，但不保证所有用户立即更新，已有连接也不会因记录变化自动迁移。
如果攻击者直接访问已知 IP，或攻击流量占满目标网络上游链路，仅切换 DNS 可能无效；若新旧地址共用同一受压链路，换记录也不能解决瓶颈。权威DNS服务本身还应保持可用，变更前核对记录类型、备用地址、证书和应用依赖。
按攻击范围作出选择
| 判断条件 | 优先考虑 | 主要风险 |
|---|---|---|
| 目标网段或上游链路承压，需过滤进入网络的流量 | BGP牵引，并与上游确认清洗和回程 | 路由传播、前缀范围或回程配置错误 |
| 单个站点或服务端点故障，备用环境可接管 | DNS切换，并验证新端点承载能力 | 缓存残留、依赖遗漏或备用端过载 |
| 攻击同时压迫链路且影响单站服务 | 先处理网络入口，再按需切换服务解析 | 多项变更叠加，难以判断故障来源 |
因此，BGP牵引与DNS切换在攻击应急中的取舍，不宜简化为“哪个更快”。应结合攻击是否直打 IP、业务是否依赖域名、备用环境是否独立，以及谁有权限操作路由和解析来决定。两种方法也可以分层配合，但每一步都要有明确的验证信号和撤销方案。
应急操作顺序与回退
- 确认范围：对照网络设备、上游告警和服务监控，确认受影响的 IP 前缀、域名、站点及链路；区分网络拥塞与单点服务故障。
- 选定动作：需要在路由层分流时，向上游确认牵引目标、通告前缀和清洗回程；需要切换解析时，先检查备用地址、证书、数据状态和依赖服务。
- 小步验证：记录变更前的路由与DNS记录，按预定范围实施；观察路由可达性、解析结果、业务连通和错误变化。不要只凭某一处解析查询判断全球生效。
- 准备撤销：明确由谁撤回路由或恢复记录、何时触发回退，以及回退后如何复核。攻击缓解后也应检查缓存、路由状态和备用环境负载。
简而言之，BGP牵引与DNS切换在攻击应急中的取舍，应由受影响层级决定：链路与网段问题偏向路由牵引，域名指向的站点问题偏向DNS切换。任何操作都要同时评估路由风险、解析缓存和回退能力。
常见问题
DNS的TTL调低后，用户会立刻切换吗？
不会保证立刻切换。不同递归解析器和客户端的缓存行为可能不同，已有连接也可能继续使用旧地址。
BGP牵引是否能处理所有攻击？
不能。效果取决于攻击流量是否经过可控路由和清洗路径，也取决于清洗能力及回程设计。
可以同时使用两种方式吗？
可以，但应分清各自目标：路由牵引处理网络入口流量，DNS切换改变后续域名解析。分步实施并验证，能降低变更叠加造成的判断困难。
什么时候需要恢复原配置？
确认攻击影响已缓解、原服务路径稳定且回退不会重新暴露故障后，再按预案逐项恢复并复核。
