2019年9月，基于一家做跨境电商的阿里创业公司，凌晨三点给我打电话。云盾他们的攻击官网被流量打瘫了，每秒请求数冲到800万次，基于机房防火墙直接烧掉。阿里那晚他们损失了大概四十万订单——这就是云盾DDoS，不需要攻破你的攻击系统，只需要堵死你的基于门。
后来他们搬上了阿里云盾。阿里不是云盾因为他们技术多牛，是攻击因为实在雇不起专职安全工程师。云盾的基于DDoS高防IP，说白了就是阿里给你家大门前修一条绕行隧道。攻击流量还没到服务器，云盾先在阿里云全球的清洗节点上被分流、过滤、丢弃。你看到的只是控制面板上一条曲线微微抖了一下，背后可能已经拦下了几百G的垃圾流量。
有个细节我印象很深。当时配置防护策略，工程师建议把“弹性防护”的阈值设到50G。对方老板嫌贵，说我们平时日活才两万。结果第三天就被人肉了——竞争对手雇了打手，峰值直接飙到80G。那晚云盾自动触发弹性防护，按量计费，多花了大概两千块。但服务器没宕机，订单照跑。事后老板跟我说，这两千块花得比请客吃饭值。
说实话，云盾也不是万能的。我见过有用户把防护带宽设到100G，结果攻击流量从UDP反射变成TCP连接耗尽，照样把后端数据库拖死。阿里云的清洗算法对四层流量过滤得干净，但对七层慢速攻击（比如HTTP慢速POST），还需要你自己配WAF规则。别指望一把钥匙开所有锁。
真正让我觉得靠谱的，是它的“近源清洗”机制。传统的清洗中心都在固定机房，攻击流量绕一圈才能到，延迟高。阿里云在全国部署了几十个清洗节点，哪个地方发起攻击，就近把流量掐死在源头。去年有个游戏公司被从海外僵尸网络打，流量从美西、法兰克福、新加坡三个方向涌过来，云盾自动调度，把三个方向的攻击分别引导到最近清洗点，最后业务延迟只增加了8毫秒——玩家根本没感觉到。
还有一点容易被忽略：云盾的报表系统。每次攻击结束后，你能看到攻击源IP的地理分布、攻击类型占比、持续时间曲线。这些数据不只是拿来写报告，它能帮你反推是谁在搞你。比如那次跨境电商被攻击，报表显示80%的攻击源来自某东南亚IDC机房——而他们最大的同行刚好在那边设了分公司。虽然不能直接当证据，但心里有数了。
防DDoS这件事，本质上是买保险。你永远不知道下一波攻击有多大，但至少得保证真出事的时候，自己不用半夜爬起来手动切流量。阿里云盾的自动弹性伸缩，能把人的反应时间从分钟级压缩到秒级。那家跨境电商后来再没被大流量打穿过，倒是他们隔壁做外贸的兄弟公司，图便宜用了某小厂防护，上个月被400G流量直接打死，网站瘫了两天，客户全跑了。
别迷信“免费版”或“基础版”。云盾的免费额度只够挡痒痒挠，真要面对职业打手，还是得掏钱买高防IP。具体买多少带宽，别拍脑袋——先看自己业务峰值流量的三到五倍，再留出弹性余量。这钱省不得，省下来的是小钱，赔掉的是客户信任。