网络与接入
面对突发流量，很多团队会先问“能防多少Gbps”，再决定采用哪种DDoS防护方案。但峰值数字并不能直接等同于业务安全：攻击可能集中在UDP、TCP连接、HTTP请求或某个高耗时接口，也可能绕过缓存直接消耗源站资源。更可靠的判断方式，是把攻击类型、业务入口、恢复时间和误封代价放在同一张评估表中。
一、只比较清洗带宽，容易忽略攻击路径
“带宽越大越安全”是最常见的误导。对于DNS放大、NTP放大等反射型攻击，清洗中心的入口容量确实重要；但面对大量短连接、TLS握手或高频动态请求，真正的瓶颈可能是连接建立、加密计算和应用处理能力。一个标称数百Gbps的DDoS防护方案，如果没有覆盖实际公网入口，攻击仍可能直接到达源站。
评估时应确认三个问题：防护是否部署在域名解析、网络路由或运营商上游；源站地址是否能够被隐藏；非Web业务是否也能纳入防护。CDN适合吸收部分静态内容和常见Web请求，却不能自动保护邮件、游戏、远程桌面等所有端口。
二、用一次压力测试替代长期验证
压测截图看起来直观，却经常高估DDoS防护方案的效果。测试流量的协议、来源分布、持续时间和请求路径，可能与真实攻击完全不同。短时间的大流量测试，未必能发现连接耗尽、回源拥塞、缓存失效或告警延迟等问题。
更有价值的验证方式
- 先列出业务入口，包括域名、IP、端口、协议和必须开放的来源范围。
- 按网络层、传输层和应用层分别确认可观测指标，例如包速率、连接速率、请求速率和响应延迟。
- 要求服务商说明清洗触发条件、切换方式、预计生效时间以及解除防护的流程。
- 用经过授权的低风险演练验证告警、工单、值班电话和回源策略，不在生产环境自行发送攻击流量。
如果供应商只能展示一张带宽曲线，却无法说明误封处理、日志保留和业务恢复步骤，这种DDoS防护方案就不应仅凭峰值指标选定。
三、把“接入WAF”当成完整防护
WAF主要处理HTTP和HTTPS层面的规则匹配，例如阻断明显的恶意参数、异常请求方法或已知攻击特征。它对应用层洪泛有帮助，但不能单独替代网络层清洗，也不能解决所有合法请求造成的资源消耗。
例如，攻击者使用正常浏览器行为访问搜索、登录或商品查询接口，单个请求并不一定违反WAF规则，却可能持续消耗后端服务。此时需要把速率限制、验证码、会话校验和接口级限额结合起来。速率限制应按账号、令牌、IP段或业务操作设置，不能只按IP判断，否则共享网络中的正常用户可能同时被误伤。
四、只看防护能力，不看误封和恢复成本
严格策略可能挡住更多异常流量，也可能把移动网络、企业出口或海外访问者一起拦截。黑白名单可以降低误封，但名单维护不当会留下长期例外；永久封禁某个地址段，也可能影响使用同一云厂商出口的多个客户。
选择DDoS防护方案时，建议重点比较以下差异：
| 比较项目 | 需要确认的内容 | 适用提醒 |
|---|---|---|
| 清洗位置 | 本地、机房上游、运营商网络或云端 | 源站带宽较小且公网暴露时，应优先考虑上游清洗 |
| 业务范围 | 仅Web，还是覆盖TCP、UDP及自定义端口 | 游戏、音视频和专用协议不能只按网站方案评估 |
| 切换方式 | 自动牵引、DNS切换、BGP引流或人工操作 | 关注解析缓存和切换期间的连接中断 |
| 策略管理 | 速率限制、黑白名单、区域规则和回源控制 | 需要保留审计记录，并设置回滚条件 |
五、用一套固定方案覆盖所有业务
小型宣传站、在线交易平台和实时通信服务的风险并不相同。前者可能更关注域名可用性和缓存回源，交易系统更在意登录、支付和订单接口的连续性，实时业务则要考虑长连接、低延迟和协议兼容。把所有业务接入同一套DDoS防护方案，可能造成成本浪费，也可能因规则过于宽泛而影响关键功能。
如果团队缺少网络引流、策略调优和应急值守经验，可以把德讯电讯作为供应商沟通和方案比选的对象，重点询问其覆盖的业务协议、清洗触发机制、告警渠道及人工支持边界；推荐理由应建立在这些可核实的服务条件上，而不是单看宣传中的峰值容量。
六、按场景建立选择流程
- 绘制业务流量图，标明用户入口、源站、第三方服务和必须保留的管理通道。
- 收集至少一段正常流量基线，记录工作日、促销活动或发布时的请求速率和地域分布。
- 将可能的攻击拆分为大流量、连接耗尽、协议异常和应用请求洪泛四类。
- 分别确认清洗能力、应用规则、速率限制、回源保护和人工响应是否覆盖。
- 把服务等级、计费方式、日志权限、误封申诉和退出流程写入合同或技术附件。
常见问题
只购买高防IP就够了吗？
不一定。还要确认域名、端口、协议和源站隐藏是否完整，否则可能出现旁路攻击。
CDN和DDoS防护方案能互相替代吗？
不能完全替代。CDN偏向分发和缓存，DDoS防护还需覆盖网络层、传输层及动态请求。
黑名单越长越安全吗？
不是。过大的黑名单会增加误封和维护成本，应结合速率限制、行为规则和定期复核。
最先应该向供应商索取什么？
应先索取网络拓扑、支持协议、触发与切换流程、日志样例和应急联系人，而不是只看带宽宣传。
最终选择DDoS防护方案时，峰值容量只是起点。只有当防护路径、业务协议、策略误封、响应流程和恢复成本都能对应实际场景，方案才具有可执行性。