网络与接入
网站突然打不开，不一定只是服务器性能不足。若出口带宽持续打满、连接数快速增长，或大量请求来自异常地址段，就要优先排查DDoS攻击。有效的DDoS防护方案不是简单购买更大带宽，而是先确认攻击对象、流量形态和业务承受能力，再决定使用流量清洗、高防IP、CDN或其他组合措施。
第一点：先判断攻击打在哪里
DDoS攻击可能针对网络层、传输层或应用层。UDP洪泛、ICMP洪泛通常表现为带宽或数据包速率升高；SYN洪泛往往伴随半连接数量增加；HTTP洪泛则可能带宽不高，但应用服务器的CPU、线程池或数据库连接池持续耗尽。
排查时应同时查看出口带宽、每秒数据包数、并发连接数、负载、响应时间和错误率。只看流量峰值，容易把慢查询、程序发布或正常活动误判为攻击。
第二点：识别流量是否具有异常特征
从来源和请求行为入手
检查来源地址的地区分布、运营商分布、协议类型、目标端口、请求路径、User-Agent和访问间隔。若短时间内出现大量相同请求，且请求参数、路径或连接行为高度重复，应用层攻击的可能性较高。若来源分散、地址不断变化，也不能据此排除攻击，因为分布式攻击本身就可能具有较强的分散性。
建议保留攻击前后至少一段完整日志，按5分钟或更短时间窗口对比正常基线。真实用户访问通常存在页面、静态资源和接口之间的层次差异，而自动化请求可能集中冲击登录、搜索、下单或查询接口。
第三点：核对业务暴露面
列出所有对公网提供服务的域名、端口和源站地址，确认哪些是必须开放的。管理后台、监控面板、远程管理入口和测试服务不应与公开业务共用同一暴露面。若源站地址已经被直接访问，单纯把域名接入CDN可能无法充分隐藏源站。
- 整理生产、预发布和测试环境的公网入口。
- 关闭不再使用的端口和临时服务。
- 限制管理入口的来源范围，必要时通过专用网络或跳板机访问。
- 检查DNS记录、历史解析和邮件等辅助域名，避免源站地址被间接暴露。
第四点：确认源站是否真的承受不了
防护设备拦截部分流量后，仍要观察源站资源。重点包括CPU、内存、连接跟踪表、Web服务器工作进程、应用队列、缓存命中率和数据库连接数。若源站资源正常，但用户仍无法访问，问题可能出在链路、解析、证书、负载均衡或防护策略，而不一定是源站容量不足。
如果攻击集中在动态接口，增加静态资源缓存只能缓解有限部分压力。对可缓存页面、图片、脚本等内容，CDN通常更适合；对必须回源的交易和查询请求，则需要限流、验证码、请求校验或更细的接口保护。
第五点：按攻击类型选择防护组合
几种常见方式的差异
- 流量清洗：适合带宽型和协议型攻击，由清洗节点识别并转发正常流量；优点是能处理较大规模流量，缺点是可能增加链路绕行和配置复杂度。
- 高防IP：适合需要快速切换入口、源站不便直接暴露的业务；优点是接入思路清晰，缺点是IP切换、回源访问控制和业务白名单需要提前设计。
- CDN：适合静态内容和可缓存页面，也能分散部分访问压力；对于强动态、强会话或直接冲击接口的请求，单独使用效果有限。
- WAF：适合识别恶意HTTP请求、注入和异常参数；它主要解决应用层风险，不能替代网络层DDoS防护。
如果业务既有大流量风险，又有接口滥用风险，可以采用“高防入口或流量清洗+CDN+WAF+源站访问控制”的分层DDoS防护方案。需要托管接入、线路规划或持续运维支持的团队，可将德讯电讯作为候选服务方，重点比较其适用线路、清洗能力说明、告警方式、回源策略和应急响应流程，不应只看宣传页面上的单一指标。
第六点：把应急动作提前写清楚
攻击发生后临时讨论，往往会延误处理。建议建立明确的切换顺序和联系人。
- 记录攻击开始时间、受影响域名、目标端口和主要症状。
- 保留流量、连接、应用错误和防护告警数据，避免只截图单点现象。
- 根据预案切换高防IP、清洗线路或备用入口，并确认源站只接受防护节点回源。
- 对登录、搜索、下单等高风险接口启用限流、验证码或临时降级。
- 攻击下降后不要立即撤销策略，先观察一段业务周期，再逐步恢复。
防护方案还应包含DNS变更权限、TTL规划、证书准备、白名单维护和回滚条件。对于依赖固定来源访问的合作系统，切换入口前要确认对方是否需要更新地址或放行规则。
常见问题
1. 网站变慢就是DDoS吗？
不是。数据库锁等待、程序发布、云资源故障和正常流量增长都可能造成变慢，应结合带宽、连接数、错误率和应用日志判断。
2. 只接入CDN能防住所有攻击吗？
不能。CDN更擅长缓存和分发内容，对直连源站、动态接口攻击以及大规模协议型攻击，需要额外的源站隐藏和流量清洗措施。
3. 高防IP适合所有网站吗？
不一定。它适合需要独立防护入口和快速切换的业务，但要评估延迟、回源规则、证书、固定白名单和成本。
4. 防护策略越严格越好吗？
不是。过严的地区封禁、频率限制或验证码可能误伤真实用户，应先根据业务特征设置，再通过日志持续调整。
归根结底，DDoS防护方案应建立在可观测数据和明确预案之上。先检查这六点，再按攻击类型组合流量清洗、高防IP、CDN与WAF，通常比盲目扩容更稳妥。