网站突然打不开，运维第一反应往往是「服务器挂了」或「带宽不够」。但有时服务器没坏、带宽也没跑满，网站就是上不去——流量被恶意占满了。

这就是 DDoS 攻击（分布式拒绝服务）。这篇文章说清它到底在做什么、有哪些常见类型，以及网站管理者和运维团队该按什么顺序防、按什么顺序处置。

一、DDoS 攻击在做什么

一句话：用大量虚假或受控的请求把网站承载能力占满，让正常用户进不来。攻击者控制一批分散主机同时请求，单个来源都像正常访问，很难靠「封 IP」解决。

按攻击目标，常见分三类：

  • 带宽型： 用巨量流量灌满入口带宽，正常请求连传都传不进来。
  • 协议型： 用大量半开连接耗尽连接表，服务器明明在线，却无法响应新用户。
  • 应用层（CC 攻击）： 模拟真实用户反复请求最耗资源的页面或接口，流量不大，但把数据库和应用压垮。

第三类最难识别，因为它看起来就是正常访问，只是频率和来源分布异常。

二、几个容易误判的现象

  • 访问变慢就加带宽。 应用层攻击加带宽没用，瓶颈在应用处理能力。
  • 只盯流量大小。 CC 攻击流量可能只有几 Mbps，却足以打垮没有防护的站点。
  • 以为小站不会被盯上。 自动化工具不挑对象，扫到谁打谁，小站因防护薄弱反而更容易被打穿。
  • 攻击一停就当没事。 第一波常常是试探，确认防护薄弱后会有更大规模的一轮。

三、防御按三层来做

1. 边界层

把流量先引到清洗中心或高防 IP，清洗后再回源。前提是源站 IP 没暴露——攻击者知道源站地址，流量就会绕过清洗直接打过去。

2. 架构层

静态资源走 CDN 缓存，减少回源；接口做频率限制；异常请求做验证（验证码、JS 挑战）；按区域和频率做访问控制。目的是让攻击流量更早被挡掉。

3. 运营层

监控带宽、连接数、QPS、错误率，异常能告警到人；预案里写明「谁能一键切流量」；定期演练，别真出事时还在找密码。

四、被攻击时的处置顺序

顺序比工具重要，按下面五步走：

  • 确认： 对照基线看 QPS、连接数、来源分布、错误码，判断是攻击还是业务峰值。
  • 通知与决策： 确定谁有权切高防、谁对外沟通，别在高峰临时找人。
  • 切流量： 把入口流量切到清洗或高防链路，这步通常最快止血。
  • 限流与降级： 优先保住核心页面和交易链路，次要功能可以先关。
  • 留证据与复盘： 保留日志与请求样本，事后还原时间线。

五、常见问题

已经有防火墙，还需要高防吗？

两者防的不是同一件事。防火墙管访问控制规则，DDoS 是流量与连接层的饱和攻击，需要清洗能力。攻击超过本地出口带宽时，本地设备再强也没用。

DDoS 攻击会导致数据泄露吗？

DDoS 本身是可用性问题，不直接偷数据。但它常被用作掩护，与入侵、勒索同时发生。处置时不能只看网站恢复没有，还要确认没有异常登录和外传。

云服务商自带的防护够不够？

取决于攻击规模和类型。基础防护通常有带宽上限，超出后要额外清洗服务；额度以服务商说明为准，建议按自己业务实测一次，而不是看宣传数字。

平时能做什么，才不至于临时抱佛脚？

四件事：隐藏源站 IP、静态资源上 CDN、接口限流、把切换流程写成文档并演练一次。成本都不高，但决定出事时的恢复速度。

小结

DDoS 攻击的本质是「用别人的机器，挤掉你的真实用户」。防御的重点不是买一个设备，而是把边界、架构、运营三层都补齐，并且在平时就把处置流程演练熟。

想更深入理解防护架构，可以看 DDoS 防御的核心逻辑；也可以对照 出海业务的访问速度与攻击防护，从架构角度看两者如何并行。防护方案与规格可以看 DDoS 攻击防御服务，或直接 联络我们 说明业务情况。