内容摘要：```html 去年冬天，一家做棋牌游戏的小公司被打了。不是什么高级APT，就是最粗暴的UDP反射，峰值冲到480Gbps。运维在群里发截图的时候，整个控制台一片红。他们买了某云的“高防IP”，结果清

```html

去年冬天，击服一家做棋牌游戏的击服小公司被打了。不是击服什么高级APT，就是击服最粗暴的UDP反射，峰值冲到480Gbps。击服运维在群里发截图的击服时候，整个控制台一片红。击服他们买了某云的击服“高防IP”，结果清洗阈值设的击服300G，超了之后直接黑洞。击服业务停了四个小时，击服当天流水掉了七成。击服后来老板在朋友圈骂了一句：“抗D？击服抗了个寂寞。”

这事说明一个很实在的击服问题：抗DDoS服务不是买保险，交钱就完事。击服它更像租了个带保安的院子，但保安什么时候开门、放进来多少人、拿什么家伙，全看你合同里那些小字怎么写。

清洗中心不是万能药

大部分云厂商的抗D服务，原理就一句话：把流量引到清洗中心，把像攻击的包扔掉，把像正常的包转回源站。听起来简单，但“像”这个字是致命的。你一个游戏业务，正常玩家发的是UDP小包，攻击者发的也是UDP小包，区别只在频率和payload特征。清洗设备稍微手抖，正常玩家的技能释放就卡成幻灯片。我见过一个MOBA游戏，开抗D之后延迟从40ms飙到200ms，玩家骂声一片。运维只能把清洗阈值调高，结果攻击真来的时候又漏了。这就是个跷跷板。

源站暴露才是要命的事

很多公司以为套了CDN就安全了。去年有个做电商的客户，CDN回源IP没藏好，被扫出来一个C段。攻击者不打CDN，直接打源站。源站那台Nginx连个iptables规则都没配，瞬间被打穿。抗D服务商那边看着CDN节点风平浪静，源站已经躺了。所以买抗D之前，先拿个外部扫描器扫自己，看看真实IP是不是挂在公网上裸奔。这个动作比选哪家服务商重要十倍。

流量清洗之外的脏活

真正扛住大流量攻击的，往往不是清洗中心，而是运营商的RTBH或者流量压制。某次一个直播平台被打了1.2T，云厂商的清洗集群直接过载，最后是运营商在骨干网层面把去往那个IP的流量全丢了。代价是那个IP彻底不可用，业务切到备用IP才活过来。所以你的抗D方案里，有没有跟运营商联动的通道？有没有备用IP池？这些没人会写在产品页上，但出事的时候就是救命稻草。

还有一个细节：抗D服务通常按清洗流量计费。攻击者打你三天，你账单多出几十万。有些厂商提供“无限防”套餐，但仔细看条款，超过一定量之后会限速或者封禁。说白了，抗DDoS是个成本转嫁游戏，攻击者花一千块打你，你花一万块防，这生意从一开始就不对等。

自己得有点底子

我见过最聪明的做法，是一个小团队自己写了个脚本，监控入站流量。一旦发现某个IP的包速率超过阈值，自动调API把那个IP加到云防火墙的黑名单里。虽然粗糙，但对付小规模CC攻击够用了。他们还把静态资源全扔到对象存储，源站只处理动态请求。攻击者打静态资源，对象存储扛得住；打动态接口，脚本自动封IP。一个月成本不到两千块，比买高防套餐便宜一半。

抗DDoS没有银弹。大厂靠钱堆清洗带宽，小厂靠架构和自动化。最怕的是中间那批，钱花了不少，架构没改，运维没练，出事只会重启。攻击者最喜欢这种。

```