当防护节点承压过大时，最快的解决思路是“先分流、再切换”，即把攻击流量分散到多个节点消化，同时把健康业务切到备用链路，而不是死扛单一节点。从判断、分流、切换、落地四个层面拆解，适合运维和站长直接参考。
防护节点扛不住怎么办：先判断瓶颈再动手
很多团队一看到防护节点报警就急着切换,结果切过去发现备用节点也马上被打满，行业共识认为，90%以上的切换失败是因为没搞清瓶颈在哪，承压过大可能是三种情况：
- 带宽被占满：攻击流量打爆了入口带宽，正常请求进不来。
- 连接数耗尽：大量SYN包或慢连接占满了会话表，导致新连接被拒绝。
- 源站处理能力不足：防护节点转发正常，但源站CPU/数据库扛不住。
分别判断的方法很直接：登录防护节点后台看流量图和连接数曲线，同时看源站的负载监控，如果节点流量接近带宽上限但源站负载低，是带宽瓶颈；如果节点连接数打满但流量不高，是并发瓶颈；如果节点转发正常但源站响应超时，是源站瓶颈。
不同瓶颈对应的拆解路径完全不同，带宽瓶颈靠分流，连接数瓶颈靠调参，源站瓶颈靠缓存和架构优化，先把这一步做完，再谈切换。
高防IP切换需要注意什么：三个必查项
切换到备用高防IP不是改个DNS解析那么简单,有三个点必须提前验证，否则切了也白切。
检查备用节点的防护水位
备用节点不是说“没被打”就代表能接住，登录备用节点后台，看它的当前带宽使用率、连接数峰值、黑洞阈值，如果备用节点本身只剩20%余量，那它承接不了多少流量，业内专家的建议是：备用节点的冗余至少要达到主节点日常峰值的5倍以上，否则切换后很容易二次被打崩。
检查线路类型和地域覆盖
高防IP有电信、联通、移动单线，也有BGP多线，如果你的用户主要集中在华南，备用节点却放在华北的BGP线路，切换后丢包率和延迟会明显上升，更实际的做法是：备用节点选择同运营商但不同机房，这样既能分散攻击压力，又不至于让用户体验断崖式下跌，如果业务有跨境访问，还要看备用节点是否支持海外优化线路。
检查回源方式是否兼容
高防IP切换时,回源地址可能是IP或域名，如果原节点用的是域名回源，切换后新节点可能无法正常解析到你的源站，提前把回源IP白名单、回源Host头、SSL证书都核对一遍。最稳妥的方式是先用一个低流量业务试切，跑10分钟看日志和错误率，再决定是否全量切。
分流思路：从源站到边缘的逐层拆解
切换是最后手段,分流才是更优雅的解压方式，分流要分三层做，每层解决不同的问题。
边缘层：用高防CDN先扛大流量
高防CDN和高防IP哪个效果好？这个问题很多人在选型时会纠结，其实两者分工不同：高防CDN把流量分散到全国甚至全球的边缘节点，适合大流量攻击（比如HTTP Flood、CC攻击），因为它可以把攻击请求分散到几十个节点上，每个节点只扛一小部分，而高防IP更适合针对IP的攻击，比如SYN Flood、UDP Flood，因为攻击目标集中在单个IP上，高防IP通过清洗设备直接过滤。
实操做法是：在CDN和高防IP之间做串联或并联，串联模式下，流量先经过CDN清洗一轮，再回源到高防IP，高防IP只需要处理CDN转发过来的干净流量，并联模式下，静态资源走CDN，动态请求走高防IP，两者各管一摊。多数情况下，串联模式更能缓解单节点压力，因为CDN天然把流量打散了。
转发层：用负载均衡切流量比例
如果你的业务本身有多台源服务器或多个机房,可以在负载均衡层面做流量分流，比如Nginx或云负载均衡都支持按权重分配流量，当主防护节点承压时，把权重从100:0调成60:40，让备用节点承担40%的请求。
具体操作路径（以Nginx为例）：
- 在upstream里添加备用节点服务器,配置weight参数。
- 执行
nginx -s reload热加载。 - 观察5分钟,看备用节点CPU和错误率，再逐步调大权重。
如果备用节点是不同地域的机房,还可以在DNS层面配置地域解析，让北方用户走北京节点，南方用户走广州节点，这样连IP层面都天然分流了。
源站层：缓存静态资源，压低回源压力
很多时候节点承压不是因为攻击流量大,而是正常请求的缓存命中率太低，把源站的静态资源（图片、CSS、JS、视频）全部放到对象存储或CDN上，源站只处理动态接口。
这一步做得好，能减少70%以上的回源请求，节点转发压力自然就下来了。
具体检查项：
- 响应头有没有
Cache-Control和ETag。 - 动态接口是否做了redis缓存,比如热点商品详情页。
- 是否有不必要的预加载请求在消耗节点带宽。
服务器被攻击了怎么分流：实战操作路径
分两个阶段：攻击进行中，攻击结束后。
攻击中的应急分流
假设你的服务器正在被DDoS,防护节点已报警，按以下顺序操作：
- 开启云厂商的流量清洗或DDoS高防套餐,这个通常在控制台一键开启。
- 将域名的解析切换到高防IP,目前几乎所有云服务商都支持DNS智能切换。
- 在防火墙或安全组里临时封禁攻击源IP段,可以抓包分析攻击来源，用脚本批量封禁海外可疑IP。
- 如果攻击流量超过当前套餐阈值,联系服务商临时调高阈值，或者启用备用的国际高防节点。
- 将非核心业务（比如日志上报、统计接口）临时下线，让节点把资源让给核心交易链路。
切忌在攻击最猛烈时反复切换DNS，因为DNS解析有TTL缓存，频繁切换会让部分用户反复断开连接，切换一次后，至少等待10分钟再评估效果。
攻击结束后的调整
攻击停止不代表结束,半小时后，检查节点日志和流量图，确认攻击流量峰值和方向，然后做三件事：
- 把攻击期间的封禁规则整理成黑白名单,沉淀到防护策略里。
- 检查源站有没有被渗透的痕迹,比如异常文件、可疑进程。
- 复盘这次承压的瓶颈,决定是否需要扩容当前节点，还是长期启用双节点分流策略。
国内高防节点价格与选型参考
不少用户会问国内高防节点价格大概多少，这里不报具体数字，因为各家差异大，且变动频繁，但可以提供参考区间（据主流云厂商公开报价）：
| 防护能力 | 月付价格范围 | 适合场景 |
|---|---|---|
| 10Gbps | 低 | 小型网站、个人业务 |
| 30Gbps | 中 | 电商、游戏运营 |
| 50Gbps以上 | 高 | 大型平台、金融系统 |
需要注意的是,价格除了看防护峰值，还看是否包含弹性防护、是否按实际攻击流量计费、是否含CDN和WAF功能，很多厂商标低价的套餐，实际弹性防护是单独收费的，选型时重点问一句话：“如果攻击超过套餐峰值，业务是黑洞还是继续服务？”行业里多数低价套餐会选择黑洞，即直接封IP，这对业务影响很大，建议优先选择支持弹性防护的节点，虽然单价高一点，但能确保业务不中断。
Q&A：防护节点分流与切换常见问题
高防IP切换时，业务会中断多久？
如果提前做好了备用节点配置,只是改DNS解析的话，中断时间取决于DNS的TTL值，TTL设为60秒时，大部分用户在一分钟内会切到新IP，如果使用云负载均衡做流量切换，通过API调整权重可以做到秒级生效，实际操作中，建议在低峰期切换，并保留旧节点至少24小时，防止用户本地缓存导致回源失败。
防护节点流量打满后，是先加带宽还是先分流？
主要看攻击类型,如果是突发大流量（比如数百Gbps），加带宽解决不了问题，因为攻击流量可能指数级增长，先分流，把流量分散到多个节点，同时联系服务商临时扩容，两条腿走路，如果是持续的中小流量（比如2-3Gbps），加带宽更直接，因为维持时间短，加完就能跑，判断标准是攻击峰值是否超过当前防护额度的3倍以上，超过就先分流，没超过就先扩容。
备用节点怎么验证是否真的能扛住攻击？
验证的方式不能是“等攻击来了再说”，建议每个季度做一次模拟压测，使用流量发生器向备用节点发送峰值的80%流量，观察节点CPU、带宽、丢包率，同时测试从备用节点回源到源站的连通性，确认回源IP没有被主节点的安全策略误拦，压测结果记录后，和主节点做对比，如果备用节点的P95延迟高于主节点50%以上，需要调整线路或升级配置。
最终要记住,分流和切换不是非此即彼，而是组合拳。先分流减压，再切换替补，最后优化源站，这套流程下来，防护节点承压的问题基本就能化解，别等到报警了才去准备，提前把备用节点、回源配置、切换脚本都备好，真正遇到攻击时才不会手忙脚乱。