攻击流量涌入时，单靠防火墙可能难以承担大规模流量过滤；清洗设备若不了解防火墙的放行边界，也可能误拦正常访问。要回答防火墙与流量清洗设备如何协同，关键是明确谁负责引流、谁负责判定放行，以及清洗后的流量如何安全回到业务侧。
1. 先固定流量路径和职责
常见部署有两类：设备串联在业务链路上，流量直接经过清洗设备；或由上游路由将特定目标流量引至清洗中心，清洗后再回注。前者路径直观，适合链路和设备容量足够的环境；后者能把大流量攻击移出本地链路，但需要协调路由和回程路径。
建议画出“上游入口—清洗设备—防火墙—业务网段”的实际路径，并标注正常流量、引流流量和回注流量。防火墙负责访问边界、网络分区及业务端口策略；清洗设备负责识别并过滤异常流量。不要让两台设备各自改路由，却没有指定唯一的流量入口。
2. 配好引流触发与撤销条件
使用BGP引流时，应预先约定通告的目标前缀、路由优先级、触发条件和撤销责任人。触发可参考链路利用率、丢包、连接异常或设备告警的组合，不宜只凭单一指标。具体阈值要按平时流量基线、链路带宽和服务承载能力设定。
若使用静态路由或设备内置的重定向方式，也要确认变更是否影响同一网段的其他服务。可先在非生产目标或维护窗口验证引流与撤销，再记录命令、审批人和回退路径。防火墙与流量清洗设备如何协同，首先取决于攻击时能否稳定把目标流量送到正确位置。
3. 划清两侧策略边界
把允许的业务端口、管理来源和必要的监控访问整理成策略清单。清洗设备上的ACL访问控制用于限制设备管理面和不需要转发的流量；防火墙则保留业务访问控制和网段隔离。两边可以共享规则依据，但不要不加区分地复制全部规则，否则旧规则、对象范围差异或策略顺序不同，都可能造成误拦。
上线前核对地址对象、掩码、协议类型、规则优先级与有效时间。管理入口应限制在授权运维网段；清洗设备回注的流量也应只允许进入对应业务区，避免借回注路径扩大访问范围。
4. 检查清洗回注和回程一致性
清洗后的流量要回到防火墙预期的入口或指定接口，再按原有策略到达业务网段。重点检查路由是否形成环路、是否存在绕过防火墙的旁路，以及回程是否走不同设备。对有状态检测的防火墙，来回路径不一致可能使会话无法匹配。
验证时从授权测试端发起正常访问，分别查看清洗前后的计数、防火墙命中规则和业务侧日志；再确认未经许可的流量仍被拦截。记录清洗回注接口、下一跳和观察方法，便于高峰期快速判断问题发生在哪一段。
5. 设定故障切换与现场操作流程
事先决定清洗设备不可用时是旁路、保持拦截还是切换到备用路径。旁路能减少设备故障对业务的影响，但可能让攻击流量直接进入下游；保持拦截安全性较高，却可能扩大业务中断。选择应结合链路容量、备用设备和业务可接受的风险，并明确由谁执行切换。
- 确认告警对应的目标地址、流量方向和受影响链路，避免对无关业务引流。
- 按预案触发引流，检查路由状态及清洗设备是否收到目标流量。
- 观察清洗计数、防火墙策略命中和业务可用性，必要时调整规则并记录变更。
- 攻击缓解后按预定顺序撤销引流，确认路由恢复、正常访问仍通，再归档时间线和配置差异。
还应避免过早使用黑洞路由：它会丢弃被指向的目标流量，适用于必须止损的情形，不等同于清洗，可能同时中断该目标的正常服务。演练应覆盖引流失败、回注异常和设备故障三种情况。
常见问题
清洗设备应放在防火墙前还是后？
取决于部署方式和链路条件。串联时按设计路径接入；采用上游引流时，应确保清洗回注仍经过防火墙。
两台设备的规则需要完全一致吗？
不需要。应统一业务范围和变更依据，再按各自职责配置；重点核对地址、端口、优先级和生效时间。
怎样确认联动真正生效？
同时核对引流路由、清洗计数、防火墙命中记录与正常业务访问，不能只看单台设备显示的告警状态。
归根结底，防火墙与流量清洗设备如何协同，要靠清晰的流量路径、可验证的策略边界和经过演练的回退流程。把这五项配置落实到文档与值守步骤中，才能在攻击高峰时减少临时判断和误操作。