阿里云防DDoS攻击

去年双十一前夜，我一个做跨境电商的云防朋友突然在群里喊救命——他的独立站流量在十分钟内从日均两千IP飙到四十万，服务器负载直接拉满，攻击页面打不开，阿里后台登不进。云防不用猜，攻击典型的阿里DDoS。攻击峰值不算特别大，云防大概30Gbps，攻击但对他那台单机部署的阿里ECS来说，已经够喝一壶了。云防

他当时的攻击第一反应是重启，第二反应是阿里加带宽。结果带宽加到200Mbps，云防攻击流量跟着涨，攻击钱烧得飞快，问题一点没解决。我让他赶紧把域名解析切到阿里云的高防IP，折腾了不到半小时，流量清洗生效，网站恢复访问。他后来跟我说，那一刻才真正理解什么叫“专业的事交给专业的人”。

阿里云扛DDoS这事，不是简单堆带宽就能解释的。它的底层逻辑是分布式清洗+近源压制。阿里云在全球有多个清洗中心，攻击流量在进入你的ECS之前，已经被牵引到最近的清洗节点。清洗节点上跑的是基于机器学习的流量指纹模型，能区分正常用户请求和攻击流量。比如SYN Flood，它会检查TCP握手是否完整；UDP反射放大，它会分析包长和载荷特征。这些规则不是静态的，是实时更新的。

具体到产品层面，阿里云把DDoS防护拆成了几个层次。最基础的是DDoS基础防护，免费，每个ECS默认自带，能扛住5Gbps以下的攻击。这个量级对付脚本小子的粗放式扫描够了，但遇到有组织的CC攻击或者大流量混合攻击，基本秒破。往上走是DDoS高防IP，分保底防护和弹性防护，保底部分按月付费，弹性部分按天计费。我朋友那次用的就是高防IP，保底30Gbps，弹性到100Gbps，当天只花了不到两百块。

再往上还有DDoS高防（国际版），针对海外业务，清洗节点分布在香港、新加坡、硅谷等地。做游戏出海或者跨境直播的团队用得比较多。另外阿里云还有个原生防护，直接绑定在SLB或者EIP上，不需要改DNS解析，适合那种不想动架构、只想快速加一层防护的场景。

说个细节。阿里云的高防IP在配置的时候，有一个“清洗阈值”的选项。默认是自动模式，系统根据历史流量基线动态调整。但如果你对自己的业务流量曲线特别清楚，可以手动设一个固定阈值。比如你日常峰值是500Mbps，那就把阈值设到800Mbps，超过这个数才触发清洗，避免误杀正常流量。这个功能在控制台里藏得不算深，但很多用户第一次用的时候会忽略。

成本方面，得算一笔账。自己买高防硬件设备，入门级也得几十万，还得养一个安全团队。阿里云的高防IP，保底30Gbps一个月大概两万出头，弹性部分按攻击峰值和时长计费。对于中小型业务，这个价格比自建划算太多。而且阿里云的高防和WAF、云防火墙可以联动，CC攻击来了，WAF层先拦一道，漏过来的再进高防清洗，层层过滤。

不过也别把阿里云当万能药。我见过一个案例，攻击者用大量分散的肉鸡做慢速CC攻击，每个IP的请求频率极低，模拟正常用户行为。这种攻击流量特征不明显，高防的机器学习模型需要一定时间才能识别。那段时间里，业务还是会有抖动。所以真正稳妥的做法是高防+WAF+业务层限流三管齐下。阿里云的控制台里可以把这几个产品串起来，配置不算复杂，但需要你对自家业务的流量模型心里有数。

最后说个观察。阿里云这两年把DDoS防护的响应速度压到了秒级。以前切高防IP，DNS生效要等几分钟，现在用CNAME接入，基本是即时生效。控制台的攻击报表也做得越来越细，能看到攻击源IP的地理分布、攻击类型占比、甚至单个IP的攻击频次。这些数据对于事后复盘和策略调优很有用。我那个朋友后来把攻击报表导出来，发现60%的流量来自东南亚某几个机房，直接在高防里设了区域封禁，世界清净了。

DDoS这事，防不住是常态，防得住是本事。阿里云的本事在于把清洗能力做成了水电煤一样的基础设施，你不需要懂BGP引流，不需要懂流量指纹，点几下鼠标就能用。但前提是，你得知道自己需要哪一档，以及什么时候该切过去。