我的服务器被ddos攻击了

凌晨三点十七分，我的手机像块烧红的烙铁在床头柜上疯狂震动。七条告警短信，来自同一台服务器——那台挂着三个老客户网站、跑着公司内部GitLab的破旧DELL R730。

SSH连上去，top命令刷出来的瞬间我差点把咖啡泼在键盘上。load average 187.39，平时这个数字从没超过2。网卡eth0的RX bytes以每秒4GB的速度狂飙，而我的机房带宽总共才买了200M。这不是流量，这是有人拿高压水枪对着我家的水管猛灌。

看tcpdump的抓包结果，清一色UDP flood，源端口全是53，数据包大小固定为512字节。伪造的DNS查询请求，源IP地址随机得毫无规律——从俄罗斯到巴西，从韩国到南非，全球僵尸网络在那一刻达成了共识：要把这台破服务器打成筛子。

攻击持续了43分钟。我做了三件事：先把机房防火墙的入站规则改成只允许TCP 80/443和SSH端口，这个操作直接用web控制台做的，因为SSH已经卡得连密码都输不进去。然后给运营商打电话，要求启用黑洞路由——这个动作很痛苦，意味着所有流量都会被丢弃，包括正常用户。第三件事，我打开了Cloudflare的免费版代理，把DNS解析切过去，等DNS生效的时候，手心里全是汗。

服务器本身没被打挂，真正崩溃的是我的心理防线。当你在凌晨对着一个毫无反应的终端界面，看着日志文件里每一行都写着"connection timed out"，你会突然意识到自己有多脆弱——没有流量清洗服务，没有备用IP，没有负载均衡集群，有的只是一台过保的二手服务器和一份"应该没人会攻击我们这种小站"的侥幸心理。

攻击停止后，我登录机房控制台看了流量图。那条红色的曲线像一座陡峭的山峰，峰值出现在3点22分，每秒8.7Gbps。而我给客户承诺的SLA是99.9%可用性，这个月怕是保不住了。

事后复盘，发现攻击源里有相当一部分IP段属于某些云厂商的免费试用实例。这帮人用别人家的免费额度来打我，成本几乎为零。而我呢，花了一晚上时间，赔上睡眠和咖啡，最后只能得出一个结论：防御DDoS没有银弹，除非你从一开始就假设自己会被打，然后按照这个假设去设计架构。

第二天早上，客户照常访问网站，一切恢复正常。没人知道昨晚发生了什么，除了我和那台服务器——它还在机房里嗡嗡响着，风扇转速比平时高了那么一点，像是在抱怨昨晚没睡好。

我给自己泡了杯浓茶，打开阿里云的DDoS高防IP报价页面。看了眼价格，又默默关掉了。也许下次攻击到来之前，我能攒够钱买一台带流量清洗的防火墙。也许不能。但至少我现在明白了：在互联网上，没人会因为你是小角色就放过你。那些扫描器每分钟都在全网撒网，你唯一能做的，就是别让自己成为那条最容易上钩的鱼。