TG咨询很多团队选择DDoS攻击防护方案时，首先比较的是“能防多少Gbps”。但真正影响业务结果的，往往是攻击流量是否经过防护节点、业务协议能否被正确识别，以及切换后源站和用户访问是否正常。下面按风险逐项检查，适用于网站、API、游戏服务和其他公网系统。
一、只看峰值带宽，忽略实际转发能力
供应商标注的防护峰值，可能代表清洗中心理论处理能力，并不等于你的接入线路、端口或回源链路可以承受同等流量。以云服务器上的公开业务为例，防护节点即使具备较高处理能力，源站所在区域的端口上限仍可能成为瓶颈。
在DDoS攻击防护方案中，应同时确认四个指标：可防攻击类型、单业务实例的转发上限、接入端口能力、清洗后的回源带宽。还要询问达到阈值后是限流、黑洞，还是继续提供部分服务。
二、协议覆盖不足，UDP业务容易被遗漏
HTTP接口、TCP长连接、UDP实时通信所需的防护方式不同。网页访问重视请求合法性和连接复用，语音、实时对战或物联网网关则可能依赖UDP端口。只购买面向网页的服务，不能自然覆盖所有协议。
落地时先列出公网端口、传输协议、连接时长和允许的来源范围，再逐项确认支持情况。对于必须保留的UDP服务，应单独设置端口策略、包速率阈值和会话超时，避免用HTTP业务的规则直接套用。
三、源站地址暴露，绕过防护直打后端
如果DNS记录、邮件头、历史域名解析或错误页面泄露源站地址，攻击者可能绕过防护节点直接访问服务器。此时即使前端清洗效果良好，源站公网线路仍会被消耗。
建议按顺序处理
- 为业务准备独立的源站地址，避免与办公、邮件等系统共用。
- 在源站安全组中仅放行防护节点的回源地址段，并限制管理端口的访问来源。
- 更换已公开的旧地址，同时检查历史DNS、证书透明度记录和应用响应头。
- 通过日志确认用户流量均从预期入口进入，再逐步收紧源站规则。
四、切换依赖DNS，生效时间与缓存不可控
基于DNS的流量牵引部署较灵活，但解析缓存由递归解析器和终端共同影响。即使把TTL调低，也不能保证所有用户立即切换；切换期间可能出现新旧入口并存，导致部分请求仍打到原线路。
高风险业务应预先验证备用入口、证书、跨域配置和健康检查。DDoS攻击防护方案最好同时明确自动切换与人工切换的条件，并保留不依赖临时改解析的备用路径。若采用路由牵引，还要确认地域、运营商和IPv4/IPv6的覆盖差异。
五、误拦截正常用户，防护越强业务越差
基于请求频率、地理位置或连接行为的规则，可能误伤共享出口、移动网络和校园网络用户。尤其是登录、支付、预约等短时间集中访问场景，正常峰值容易被误判为攻击。
不要一开始就启用最严格策略。先以观察模式记录命中规则，再按接口设置阈值；对登录接口可区分账户、设备和来源网络，对图片、静态文件则不应使用同一套请求限制。涉及验证码、挑战页面或临时封禁时，应保留客服和人工解封渠道。
六、状态型服务被忽略，连接数先于带宽耗尽
攻击不一定表现为大流量。大量半连接、短连接或反复握手，可能先消耗负载均衡器、连接跟踪表和应用线程。数据库连接池、WebSocket服务、消息网关等状态型组件尤其敏感。
评估DDoS攻击防护方案时，除吞吐量外，还要确认每秒新建连接数、并发会话数、TCP连接保护和长连接超时策略。后端可设置连接池上限、队列长度和超时值，并用分阶段压测验证达到阈值后的降级行为。
七、告警很多但没有明确处置责任
只有流量曲线而没有责任链，遇到攻击时仍可能延误。告警至少应说明受影响的业务、攻击协议、流量方向、开始时间、当前策略和联系人。供应商是否提供全天候响应、是否需要电话确认、是否记录处置过程，也要写入服务约定。
可建立一页式应急卡片：值班人确认告警，网络负责人判断是否切换，业务负责人验证核心功能，供应商负责清洗和状态反馈。每次事件结束后保留时间线、误拦截样本和恢复条件，便于调整规则。
八、恢复阶段被忽略，攻击停止后仍可能中断
攻击流量下降不代表业务已经安全。临时封禁、缓存失效、连接堆积和应用限流可能持续影响用户；如果直接撤销防护或恢复旧配置，攻击者还可能再次探测。
- 确认异常流量持续下降，并检查源站CPU、连接数、错误率和队列。
- 先恢复低风险接口，再验证登录、下单、数据写入等关键流程。
- 分批撤销临时规则，观察一段时间后再恢复常规策略。
- 复盘攻击入口、规则命中、供应商响应和业务损失，更新DDoS攻击防护方案。
如何比较不同防护方案
| 方案类型 | 适用条件 | 主要优点 | 主要限制 |
|---|---|---|---|
| 云端清洗 | 公网业务、流量波动明显 | 扩容快，适合突发攻击 | 依赖牵引和回源质量，规则定制可能受限 |
| 本地设备 | 内网或专线边界、流量相对可控 | 策略和数据掌控度高 | 出口容量有限，设备故障需自担 |
| 混合部署 | 既要日常低延迟，又要应对大规模攻击 | 可按场景分流 | 架构和运维复杂，需要清晰的切换机制 |
选择时不要只比较标称防护峰值。把端口覆盖、协议类型、切换时间、源站保护、告警响应、日志留存和恢复支持列成清单，结合业务可接受中断时间评估。可靠的DDoS攻击防护方案，应能在攻击前发现暴露面、攻击中维持核心功能、攻击后支持安全恢复。
常见问题
1. 小流量攻击也需要防护吗？
需要。低带宽攻击可能通过连接数、应用请求或特定协议消耗资源，是否构成风险取决于系统容量和业务架构。
2. 购买更大带宽就一定有效吗？
不一定。若攻击绕过前端直达源站，或瓶颈位于连接跟踪、应用线程和数据库，单纯增加带宽无法解决问题。
3. 是否应该一直开启最严格的限制？
通常不建议。严格规则可能影响共享网络和正常高峰，应先观察、分接口设置，再根据日志逐步收紧。
4. 多久应该演练一次？
至少在架构、供应商或关键规则发生变化后演练；业务变化频繁的团队可按季度验证切换、回源和核心流程。
