DDOS防护措施

2023年冬天，防护一家做跨境电商的措施朋友半夜给我打电话，说网站打不开了。防护不是措施服务器宕机，是防护流量暴涨——每秒几十万请求涌进来，带宽被塞满，措施正常用户根本进不去。防护他以为是措施突然爆单，还高兴了几秒，防护直到看见监控图上一根笔直的措施竖线。那就是防护DDoS，分布式拒绝服务攻击。措施攻击者控制了大量分散的防护机器，同时向目标发请求，措施把资源耗尽，防护让真正的用户没法访问。这事不新鲜，但每年都有新花样。

先搞清楚对手怎么打。DDoS大致分三层：网络层、传输层、应用层。网络层最常见的是UDP洪水，直接往IP上砸垃圾包，带宽瞬间吃满。传输层爱玩SYN洪水，利用TCP三次握手的漏洞，发大量半开连接，把服务器的连接队列占满。应用层更阴，比如HTTP洪水，请求看起来跟正常用户一模一样，但频率极高，专门打数据库和API。我见过一个案例，攻击者用两万台物联网设备——摄像头、路由器——发起HTTP慢速攻击，每个连接都拖很久，服务器线程被占死，防火墙还以为是正常浏览。

防护没有银弹。第一道防线是带宽冗余。别抠门，买够余量。一家游戏公司告诉我，他们平时跑10Gbps，但预留了100Gbps的清洗容量。攻击峰值到80Gbps时，正常流量还能走。第二道是流量清洗。云服务商比如Cloudflare、阿里云高防，会把流量牵引到清洗中心，用指纹识别、速率限制、行为分析把恶意包丢掉。这招对应用层洪水有效，但会误杀。有次我调API，突然被限速，因为我的请求频率触发了规则。所以清洗策略要调，不能一刀切。

本地设备也得配。防火墙开SYN Cookie，防止半开连接耗尽资源。限制单IP并发连接数，比如每个IP最多50个。对HTTP请求做挑战，比如返回一个JavaScript计算题，正常浏览器能算，脚本就卡住。这招对爬虫和简单洪水管用，但高级攻击者会用无头浏览器绕过。还有个土办法：把静态资源全扔CDN，攻击者打CDN节点，源站压力小很多。CDN厂商会吸收一部分攻击，但别指望他们全扛，超量了照样回源。

监控和应急响应比防护本身重要。你得知道正常流量长什么样。工作日早高峰、晚高峰、促销活动，基线不同。攻击来了，曲线会突变。我习惯看三个指标：每秒请求数、新建连接数、带宽。任何一个异常飙升，先切备用IP，再开清洗。备用IP平时别暴露，DNS解析用低TTL，切换快。有次攻击持续了六小时，我们切了三次IP，每次撑两小时，最后攻击者放弃了。别跟攻击者硬刚，耗他成本。

最后说个观察。很多公司被打了才买防护，平时省那点钱。但DDoS攻击成本极低，网上有打手，几十美元就能打一小时。你防护成本高，但被打一次业务中断的损失更大。我见过一个在线教育平台，暑假促销时被打，两小时损失几十万订单。后来他们买了高防IP，每月几千块，再没出过事。防护不是技术炫技，是算账。算清楚 downtime 的代价，就知道该花多少钱。

还有一点，别忽略内部。有些攻击来自竞争对手，有些来自勒索邮件——“给0.5个比特币，不然明天打你”。遇到勒索，别给钱，直接报警加切IP。给钱只会招来更多。我认识一个站长，给了钱，第二周又被打了，对方说“上次是测试，这次要2个币”。所以，硬气点，把防护做好，比什么都强。

本文地址：http://www.79wt.cn/news/039f9199869.html