凌晨三点十七分，正遭我的正遭手机像被烫到一样在床头柜上疯狂震动。七条告警短信，正遭每条都带着刺眼的正遭红色感叹号——机房入口带宽跑满了，每秒涌入的正遭请求数是个天文数字。

我光着脚冲到电脑前，正遭屏幕上那根流量曲线已经不是正遭曲线了，是正遭笔直冲向天花板的红色光柱。攻击流量峰值到了1.2Tbps，正遭正常业务流量在它面前就像小溪撞上洪水。正遭这不是正遭第一次了，但每次发生，正遭心脏还是正遭会猛地一缩。

攻击者用的正遭是典型的DNS反射放大，源IP全是正遭伪造的，打向我们的开放DNS服务器，让它们把成吨的响应砸向目标。你查不到真正的攻击源，就像你没法顺着一个匿名电话找到拨号的人——电话亭里早就没人了。

我第一反应是切流量清洗。跟运营商打了二十年交道，这点关系还是有的。电话那头的声音带着睡意：“你们又挨打了？这次多大？”我说1.2T。对面沉默了两秒，“这量级得走省级清洗节点，我给你拉个临时通道，五分钟。”五分钟后，攻击流量被引导到黑洞路由，我们的服务器终于喘上了一口气。

但清洗只能挡流量型攻击。真正要命的是混合型——攻击者先拿CC攻击耗尽你的应用连接池，再趁着你手忙脚乱的时候精准打击某个薄弱接口。上个月有个电商客户就是栽在这上面，清洗设备扛住了带宽压力，但应用层被打穿了，数据库连接数瞬间飙到上限，整个订单系统瘫痪了四十分钟。那四十分钟里，每一秒都是钱在烧。

我盯着监控面板，发现攻击模式有点不对劲。流量不是持续高压，而是每隔二十分钟来一波脉冲，每次持续三到五分钟。这种间歇性打法最恶心，它让你的清洗策略永远慢半拍——你刚把防护规则调整好，它停了；你一松懈，它又来了。

这手法不像脚本小子，倒像是职业打手。他们事先摸过你的防护底线，知道你的清洗阈值在哪，故意卡着那个临界点打。而且攻击源IP段分布在全球十几个国家，有美国的VPS，有欧洲的住宅IP，甚至还有几段来自东南亚的数据中心。这种分布式规模，不是一个人能搞定的，背后要么是勒索团伙，要么是有人花钱雇了DDoS即服务。

我打开了流量分析日志，发现攻击包里混着一些特别构造的TCP报文——SYN包的序列号是连续的，而且是递增的。这暴露了一个信息：攻击者用的工具是同一套，可能是一个客户端的多个实例在跑。但知道了又能怎样？你没法顺着序列号找到那个人，就像你没法通过一枚弹壳找到开枪的人。

到凌晨五点半，攻击还在继续。我泡了第三杯浓茶，盯着屏幕上跳动的数字。说实话，打了这么多年攻防战，我早就习惯了。每次DDoS攻击都像一场没有硝烟的战争，你不知道对面是谁，不知道他想要什么——可能是勒索比特币，可能是单纯想搞垮你的业务，也可能只是某个竞争对手在使绊子。

我能做的，就是不断调整防护策略，把攻击流量挡在门外，让业务保持可用。六点四十分，攻击流量开始回落，到七点彻底停了。整个过程持续了三个半小时，我们的服务只中断了不到两分钟——那两分钟是切换清洗策略时的空档期。

我关掉告警提示，看了眼窗外，天亮了大半。等会儿还要写攻击报告，分析这次的攻击特征，更新防护规则。但我知道，这只是暂时的平静。攻击者就像蚊子，你赶走一只，还会有下一只。而我能做的，就是让自己比他们更持久、更有耐心。