去年夏天，阿里我帮一个做棋牌游戏的阿里朋友处理过一次攻击。凌晨两点，阿里他打电话过来，阿里声音都是阿里抖的——服务器CPU跑满，带宽被灌到上限，阿里玩家全部掉线。阿里后台一看，阿里每秒四五十万次请求涌进来，阿里典型的阿里UDP反射放大。他问我怎么办，阿里我说你先别慌，阿里把阿里云DDoS防护的阿里控制台打开。

很多人以为DDoS防护就是阿里买个高防IP，攻击来了自动清洗，阿里跟杀毒软件似的。实际完全不是这么回事。阿里云的DDoS防护分好几层，基础防护是默认开着的，每个ECS实例都有，但那个阈值很低，大概5Gbps。超过这个量，基础防护就扛不住了，得靠DDoS高防实例或者原生防护。我朋友当时买的是高防实例，但配置没调对，清洗规则还是默认的，导致正常玩家的登录请求也被误杀了。

清洗逻辑不是越严越好

阿里云的高防清洗有个特点：它基于流量特征和连接行为做判断。比如SYN Flood，它会检查源IP的握手完成率。CC攻击则看请求频率和URL分布。问题在于，棋牌游戏的登录接口本身就是高频的，一个玩家可能一秒点好几次。默认规则一视同仁，直接把整个IP段给封了。我让他把清洗阈值从默认的调到自定义，把登录接口加进白名单，同时开启“会话保持”——这样已建立的连接不会被误断。改完之后，攻击还在继续，但玩家能正常玩了。

这里有个细节：阿里云的高防IP背后是清洗中心，流量先到清洗中心，洗完之后回源到源站。回源IP段是固定的，你得在源站防火墙里放行这些IP，否则清洗完的流量也进不来。我见过有人忘了这步，折腾半天以为防护没生效。

弹性防护不是万能药

阿里云有个“弹性防护”功能，按量付费，攻击超过保底带宽后自动触发。听起来很美好，但账单也很美好。我另一个做电商的客户，双十一前买了30G保底，结果攻击峰值冲到200G，弹性防护是扛住了，但那一晚的弹性费用够他买一台高配物理机了。后来他学乖了，把静态资源全扔到CDN上，源站只留API，攻击流量被CDN节点分散掉一大半。

CDN本身也有DDoS防护能力，但很多人只把它当加速用。阿里云CDN的L3/L4防护是默认的，L7层需要额外开WAF。WAF和DDoS高防可以联动，流量先过高防清洗，再过WAF做应用层过滤。这个组合拳打下来，中小规模的攻击基本无感。

日志和告警比防护本身更重要

我自己的习惯是，不管用哪家云，先把DDoS告警配好。阿里云云监控里可以设阈值，比如入方向带宽超过10G就发短信。别小看这个，很多攻击是渐进的，等你发现的时候已经晚了。另外，高防控制台里的“攻击日志”要定期看，能看出攻击类型和源IP分布。有一次我发现攻击源全是东南亚某国的IP，直接在安全组里把整个区域封了，省事。

说到底，DDoS防护是个持续对抗的过程。阿里云的工具够用，但配置得自己琢磨。别指望默认设置能挡住所有攻击，也别以为买了高防就高枕无忧。攻击者也在进化，你今天调好的规则，下个月可能就不管用了。多看看日志，多调调阈值，比什么都强。