去年冬天，防护我运营的防护一个小论坛被打了。凌晨三点，防护手机报警短信像连珠炮一样响。防护爬起来一看，防护带宽图直接拉成了一条直线——30秒内涌进来40Gbps的防护垃圾流量。服务器彻底失联，防护连SSH都连不上。防护那是防护我第一次真切感受到，DDoS不是防护教科书里的概念，是防护能让你一夜之间回到解放前的暴力手段。

很多人以为DDoS就是防护“很多人同时访问你的网站”。差远了。防护真实情况是防护，攻击者控制了成千上万台被感染的防护设备——摄像头、路由器、旧手机，甚至智能冰箱——组成僵尸网络，同时向你的IP发送海量请求。这些请求本身没意义，目的只有一个：把你的带宽、CPU、连接数全部占满，让正常用户连门都进不来。

流量型攻击最粗暴。UDP洪水、ICMP洪水，直接往你的管道里灌垃圾包。我那次遇到的属于这一类。防护思路很直接：你管道多粗，我就用更粗的管道帮你洗。阿里云、腾讯云的高防IP，原理就是让你把域名解析到他们的清洗中心，正常流量放行，垃圾流量丢掉。但代价不低，一个月几千到几万，小站长根本扛不住。

更阴险的是连接型攻击。SYN洪水最典型。攻击者只发SYN包，不完成三次握手。服务器傻乎乎地分配资源等着，连接表瞬间塞满。这种攻击流量不大，可能只有几百Mbps，但能把一台没防护的Nginx打瘫。我后来给服务器加了 net.ipv4.tcp_syncookies=1，内核直接扛住了一部分。开源方案里，Cloudflare的免费套餐也能挡一挡，但别指望它能扛住定向攻击。

应用层攻击最要命。CC攻击模拟正常用户，不停请求搜索接口、登录接口、动态页面。每个请求都合法，但频率高得离谱。你封IP？对方用代理池，几十万个IP轮着来。你上验证码？用户体验直接崩。我见过一个电商网站，被CC打了三天，数据库连接池一直爆满，最后只能临时把搜索功能整个下线。

防护这事，没有银弹。我的经验是分层做。DNS层面用Cloudflare或DNSPod做隐藏源站，别让攻击者直接摸到你的真实IP。网络层买不起高防，至少把服务器放在有基础清洗的机房。系统层调内核参数，限制单IP连接数，开SYN cookie。应用层上WAF，写规则限制频率，把动态接口尽量静态化。最后，备份和降级方案必须提前准备好——被打的时候，能快速切到静态页面上，至少让用户知道你还活着。

说句实在话，小站被盯上，大概率是因为你挡了谁的财路，或者纯粹运气差被扫描器选中。真遇到T级攻击，除了花钱买高防，没有更好的办法。别信那些“一键防护”的广告，DDoS的本质是资源对抗，你资源不够，技巧再多也是白搭。

那次攻击持续了四十分钟。我最后是直接关机，等流量过去再重启。损失了一些用户数据，但站点活下来了。现在我的做法很简单：静态资源全扔CDN，动态接口限流，服务器只开必要端口，日志实时监控。不指望百分之百防住，但至少别让一次攻击就把你打回原点。这行就是这样，攻防永远在动态博弈，你只能比昨天更小心一点。

(责任编辑：休闲)