凌晨三点，攻击我盯着监控面板上那条几乎垂直拉起的防护流量曲线，手机里客户的攻击声音已经劈了叉：“所有业务全挂了，用户根本打不开页面。防护”那不是攻击普通的流量高峰，是防护每秒超过80万次的伪造请求，从全球上千个IP同时涌向一台原本只服务几万用户的攻击服务器。这就是防护DDoS攻击——分布式拒绝服务攻击，用海量垃圾请求堵死你的攻击入口，让正常用户连门都摸不着。防护

很多人以为DDoS就是攻击“很多人同时访问网站”，这个理解差得远。防护普通高峰流量来自真实用户，攻击他们想看商品、防护想下单。攻击DDoS流量的目的只有一个：占满你的带宽、耗尽你的连接数、拖垮你的CPU。攻击者控制僵尸网络——那些被木马感染的电脑、摄像头、路由器，甚至智能冰箱——让它们同时向目标发送请求。你看到的不是用户，是一支被遥控的僵尸军团。

我见过最离谱的一次攻击，来自一个智能灯泡的漏洞。攻击者通过一个默认密码控制了某品牌数千个灯泡，让它们以每秒30次的频率向一个电商网站发送HTTP请求。灯泡本身没多大算力，但几千个一起上，瞬间就把那家电商的入口带宽吃干净了。你花几十万买的防火墙，可能挡不住一个没改密码的灯泡。

DDoS攻击分好几层。流量型攻击最粗暴，直接往你的IP上灌UDP包、ICMP包，把带宽塞满。这种攻击好检测，但难防——你总不能把整个互联网的入口都关掉。协议型攻击更阴，它不追求大流量，而是利用TCP握手协议的缺陷，发起大量半连接请求，让你的服务器内存被这些“半死不活”的连接占满，正常用户连TCP握手都完不成。应用层攻击最像真人，它模拟用户行为，频繁请求搜索接口、登录接口，每个请求看起来都合法，但频率高到数据库直接跪了。

去年有个做在线考试的系统找我，说考试前十分钟必崩。我抓包一看，攻击者专门在开考前五分钟发起大量“开始考试”的请求，每个请求都携带真实的学生ID——他们从暗网买到了泄露的考生信息。这种攻击你没法靠封IP解决，因为IP是真实用户的，你封了正常考生也进不来。最后只能上行为分析，识别出那些“手速过快”的异常请求，把同一秒内点击超过三次的账号临时限流。

防护DDoS不是装个软件就完事。小网站可以用Cloudflare这类CDN，把流量分散到全球节点，攻击者打到的只是最近的边缘节点，源站IP藏起来。大企业得用专业清洗中心，把流量牵引过去，清洗掉恶意包再回注。但最关键的其实是冗余——你的带宽得比攻击流量大，你的架构得能横向扩展。我见过一个游戏公司，平时只开10台服务器，攻击一来自动扩展到200台，虽然成本高了点，但业务没断过。

别信那些“永久防DDoS”的广告。攻击和防护是动态博弈，今天能防住100G，明天攻击者就给你上500G。真正靠谱的做法是：隐藏源站IP、做好流量清洗、设置合理的限流策略、定期做压力测试。还有，把默认密码改了——你永远不知道下一个被控制的僵尸设备，是不是你办公室那台联网打印机。