某个深夜，防御方法一家电商平台突然收到每秒300G的攻击垃圾流量。运维盯着监控屏，防御方法手指发抖——后台订单系统彻底瘫痪，攻击每刷新一次页面，防御方法CPU占用率就飙升10%。攻击这不是防御方法电影桥段，是攻击上周刚发生的真实案例。DDoS攻击从来不讲武德，防御方法它不黑你的攻击数据库，不偷你的防御方法密码，就是攻击单纯用海量请求把你服务器挤爆，像一群人堵住商店门口，防御方法真顾客进不来，攻击假顾客赶不走。防御方法

防御手段得分层布置。最基础的，流量清洗。阿里云、Cloudflare这类服务商有专门的清洗集群，把攻击流量引到“黑洞”里过滤，只放行正常请求。但别指望免费版能扛住大流量，该花的钱省不了——我见过某创业公司只买基础防护，结果被50G流量打趴下，损失比一年防护费贵十倍。

限速和黑名单是第二道闸。把单IP每秒请求数限制在20次，超出直接返回验证码。再配合地理位置封禁，比如后台只服务国内用户，就把海外IP全拉黑。有次我帮朋友排查，发现攻击源一半来自巴西的僵尸网络，直接封掉那个国家段，压力瞬间减半。

更狠的一招是启用CDN节点分散流量。攻击者打的是源站IP，可你用了CDN后，真实服务器藏在几十个边缘节点后面，他们只能打到缓存节点——静态页面根本不受影响，动态请求才回源。这就像给服务器穿了件防弹衣，子弹打在铠甲上，伤不到内脏。

别忘了弹性带宽扩容。平时租10G带宽，攻击来了临时升到100G。云厂商都支持按需付费，虽然账单会吓人一跳，但总比网站宕机强。我见过一个游戏公司，活动期间被攻击，他们咬牙把带宽升到200G，结果攻击方自己先撑不住放弃了——攻击成本比防御成本高得多。

协议层防护针对SYN Flood这类老招式。服务器内核参数调一下，开启SYN Cookie，不完整的握手请求直接丢弃。再配合iptables限制每秒新连接数，攻击包根本进不了应用层。这些配置网上教程一堆，但真正遇到攻击时才发现，90%的人连系统默认参数都没改过。

应用层攻击更阴险，专门打数据库查询接口。Web应用防火墙（WAF）这时候派上用场，它能识别出“人类行为”和“机器行为”——比如正常人看商品详情页要停顿几秒，而攻击脚本每秒请求上百次。WAF会拦截可疑的User-Agent、异常Cookie、甚至鼠标轨迹特征。不过WAF误杀率也不低，得反复调规则，我调过最久的一次花了三天。

还有种土办法挺管用——IP信誉库。把历史攻击过的IP段整理成黑名单，在网关层直接丢弃。虽然僵尸网络经常换IP，但总有漏网之鱼重复使用。配合威胁情报平台的数据，能拦截掉三成左右的已知攻击源。

别忽略业务逻辑优化。把数据库查询结果加缓存，热点数据放Redis里，就算真被打了，也能扛住更多正常请求。有次电商大促被攻击，靠的就是把商品详情页全部静态化，动态接口只保留下单和支付，攻击流量再大也打不垮核心交易链路。

最后说个偏门但有效的——多活架构。把系统部署在三个不同城市的数据中心，攻击者只能逐个打。等他们打完一个，你切到另一个，等他们再打，第三个又起来了。成本高，但银行和大型国企都这么干。普通小站用不上，但你要做金融类业务，这钱省不得。

防御DDoS没有银弹，都是组合拳。最怕的是你啥都不做，裸奔上网。记住，攻击者也是生意人，他们看中的是你服务器的价值——要么勒索你给保护费，要么让你业务瘫痪。把防护做到位，让他们觉得打你成本太高，自然就换目标了。

(责任编辑：娱乐)