去年冬天，防止我一个做游戏的攻击朋友凌晨三点给我打电话，声音都是防止抖的。他的攻击服务器被打了，流量峰值冲到 400Gbps，防止玩家全部掉线，攻击后台报警短信响个不停。防止他问我：“我到底该怎么防？攻击”这个问题其实没有标准答案，但有一些事情必须做。防止

先搞清楚你面对的攻击是什么。DDoS 不是防止一种攻击，是攻击一大类。有人用海量垃圾流量堵你的防止带宽，这叫流量型攻击，攻击比如 UDP 反射、防止ICMP 洪水。有人专打你的 TCP 连接池，把半开连接塞满，这叫协议型攻击，SYN Flood 就是典型。还有人更阴，模拟正常用户请求，反复查询你数据库里最慢的那个接口，这叫应用层攻击，CC 攻击就属于这类。三种打法，应对方式完全不同。你连对手出什么拳都不知道，就別谈防守。

带宽储备是最底层的东西。你家里水管只有手指粗，别人拿消防栓往你这边灌，你怎么挡？小团队不可能自己建机房扛几百 G，那就老老实实买高防 IP 或者用云清洗服务。阿里云、腾讯云、Cloudflare 都有这类产品。原理不复杂：攻击流量先到清洗中心，正常请求被转发回你的源站，垃圾流量被丢掉。价格按清洗峰值算，平时不贵，被打的时候肉疼，但总比你服务器直接躺平强。

源站 IP 千万别暴露。我见过太多人，域名解析直接指向源站，攻击者一个 ping 就拿到真实 IP，然后绕过高防直接打你源站。正确做法是源站只允许清洗节点的回源 IP 访问，用安全组或者防火墙锁死。Web 服务前面挂 CDN，隐藏真实入口。数据库、Redis 这些更不要对公网开放。有人觉得内网就安全，结果一台机器被入侵，攻击者在内网横向移动，把数据库端口扫出来直接打，这种事每年都有。

应用层得做限速和指纹识别。Nginx 的 limit_req 模块能限制单 IP 请求频率，简单有效。但 CC 攻击的 IP 是分布式的，几万个 IP 每个只发几个请求，限速就失效了。这时候要看行为特征：同一个 User-Agent 反复请求同一个 URL、没有 Referer、Cookie 缺失、请求间隔过于均匀。把这些规则写成 WAF 策略，能拦掉大部分低级 CC。高级的就得靠人机验证，比如 Cloudflare 的五秒盾，或者自己搞个 JS 挑战，让客户端算个哈希再放行。正常用户无感，脚本就卡住了。

别忽略 DNS 层面。DNS 查询也能被打，而且影响面更大。用 Anycast 分散解析节点，设置合理的 TTL，别用太小的值，否则解析记录频繁刷新反而给攻击者更多机会。DNSSEC 能防缓存投毒，但对流量型 DNS 攻击帮助有限。关键还是选个靠谱的 DNS 服务商，别自己拿台小机器跑 BIND。

最后说点实在的。没有哪套方案能 100% 防住 DDoS，攻击成本在降，防御成本在涨。你能做的是提高攻击者的成本，让他觉得打你不划算。备份和降级预案必须有。被打的时候，关掉非核心业务，保住支付和登录，其他功能先停。监控要实时，别等用户反馈才知道挂了。我那朋友后来上了高防，加了 WAF，源站也藏起来了，上个月又被打了一次，峰值 200G，业务没断。他跟我说：“总算能睡个整觉了。”