验证Anycast抗攻击地址的路由收敛与故障切换，不能只看某台设备是否离线。相同前缀可能由多个节点通过BGP发布；节点失效后，既要确认故障节点的路由撤销，也要确认其他节点接管流量，并检查服务是否真正可用。
验证前先确定故障范围：是主机宕机、上游链路中断、服务进程异常，还是节点仍在线但已无法处理攻击流量。不同故障需要不同的检测条件，单纯监控设备电源状态不足以代表业务健康。
先定义要验证的结果
把“切换成功”拆成三个可观察结果：故障节点停止发布目标前缀；受影响网络经过路由计算后选择其他可用节点；客户端访问恢复或保持可用。Anycast节点不一定按地理距离选择，实际路径受BGP策略、自治系统路径和本地选路影响，因此不能只凭地图推断流量去向。
同时记录基线：各节点的前缀发布状态、健康检查结果、对外探测点的连通性，以及服务侧的请求成功率和时延。可用RIPE RIS、RouteViews等公开路由观测数据辅助查看路由变化，但它们只覆盖部分网络，不能代替目标用户网络的实测。
按顺序执行故障演练
- 确认安全边界。优先在测试前缀、隔离环境或经批准的维护窗口演练。确认其余节点有容量承接流量，并设置回滚条件；不要随意撤销生产前缀或扩大公告范围。
- 准备多种观测。在不同运营商或地区的探测点持续访问服务，同时采集节点健康检查、BGP邻居与路由表信息。必要时用Looking Glass查看特定网络看到的路径。
- 触发与故障对应的动作。模拟节点或链路失效，检查路由是否按设计撤销。若用健康检查控制公告，应测试检查失败时是否确实撤销，而不是仅记录告警。BFD可缩短相邻路由器间故障检测时间，但不能单独判断应用进程是否正常。
- 记录时间线。分别标记故障出现、检测触发、路由撤销、其他路径被采用、探测恢复的时间。重复演练并比较结果；一次成功不能证明不同故障条件下都可靠。
- 验证恢复与回切。恢复节点后，确认公告按预期重新出现，流量是否回流符合策略。观察是否发生反复撤销与重公告，并按预案回滚演练配置。
读懂收敛时间与证据
路由收敛可能从数秒到数分钟不等，取决于故障检测方式、BGP计时器、网络策略、路由规模和各网络的处理过程，不能仅凭一个固定阈值判定。采用BFD时，检测速度由具体配置和链路条件决定；若故障是服务进程异常，而路由邻接仍正常，则还需要应用健康检查触发公告撤销。
证据应相互印证：路由表或路由观测显示故障路径消失，探测显示访问改由其他路径完成，服务日志或监控显示请求恢复。Traceroute可帮助观察路径变化，但路径可能不响应探测报文，也可能受负载均衡影响，不能单独作为切换成功的证明。
对Anycast抗攻击地址的路由收敛与故障切换，最终要验证的是“路由变化”和“业务连续性”同时成立。若路由已收敛但剩余节点过载，或服务探测恢复但故障节点仍在错误公告，演练都不能算完整通过。
常见问题
节点宕机后，BGP会自动切换吗？
只有在故障导致路由撤销，或健康检查等机制触发撤销时，网络才会重新选路。主机宕机不一定立即使路由邻接断开。
BFD是否能保证业务故障被发现？
不能。BFD主要检测相邻设备间的转发或会话故障；应用异常通常还需独立的服务探测和路由联动。
只看路由公告变化够不够？
不够。还应从多个外部网络探测实际服务，并核对接管节点容量、请求结果和恢复时间。
如何判断演练结果可重复？
在受控条件下分别测试节点、链路和服务故障，保留时间线与监控记录，并核对恢复、回切及告警是否符合预期。
