源站带宽有限时，高防接入不能一刀切，核心思路是“拦截清洗在边缘，回源流量做减法”：优先保核心业务，用缓存、限速、回源白名单等方式把源站带宽占用降到最低，而不是把所有请求都转发回源。带宽小不是不能用高防，而是要用对方法，下面从流量模型、参数选择、前置减负、场景取舍四个维度拆开讲,最后给你可落地的操作建议。
源站带宽小能接高防吗？先看清这两个前提
能接，但得先搞清楚你面临的攻击类型和业务属性。 高防之所以能保护源站，核心逻辑是：所有流量先经过高防机房清洗，把攻击流量过滤掉，只把正常请求转发回源站，问题就出在“正常请求”上如果业务本身请求量就大，或者攻击是CC这种偏向应用层的,回源流量依然会冲垮你有限的带宽。
第一个前提是攻击类型，大流量攻击（比如SYN Flood、UDP反射放大）在高防边缘就被拦截了，回源流量非常干净，源站带宽基本不受影响，这种情况下，哪怕源站带宽只有2M，也能轻松扛住100G的DDoS攻击，但如果是CC攻击，攻击者模拟真实用户频繁请求，高防只能通过频率限制、人机识别来筛选，筛选后的请求量可能还是比你正常业务峰值高好几倍，这时源站带宽就成了短板，带宽清空,服务照样挂。
第二个前提是业务形态，如果业务以静态内容为主（图片、CSS、JS、视频），高防配合CDN缓存，可以把绝大多数请求拦截在边缘，回源占比极小，如果业务是动态接口（登录、下单、API查询），每个请求都得回源，源站带宽多大就直接决定你能撑住多大并发。动态请求占比越高，对源站带宽的敏感度就越大。
先给业务做个分类：静态多还是动态多？攻击主打的是流量型还是CC型？心里有数后再决定怎么接入。
高防IP源站带宽怎么选：回源带宽比防御带宽更关键
很多人在选高防产品时，眼睛只盯着防御峰值（比如100G、300G），却忽略了回源带宽的参数。高防IP源站带宽怎么选，重点取决于回源带宽是否支持限制和扩展。
回源带宽指的是高防机房到源站服务器的数据传输通道，有的高防产品默认回源带宽上限是50M，有的支持按需调整，如果你的源站带宽只有5M，把高防回源上限设成10M，那相当于网络拥堵时回源流量根本过不来，但反过来，如果源站带宽只有5M，高防回源上限却是100M，那攻击者只要稍微通过高防放行一批请求，瞬间就能把源站5M带宽打满高防变成了帮凶。
行业共识是：回源带宽建议设置为源站带宽的1.2到1.5倍左右，同时开启“超过阈值后自动丢包或排队”策略，高防控制台上一般都有“回源限速”或“回源带宽阈值”的配置项，比如华为云、简米云的高防IP，在实例详情页找到“回源配置”，可以设置每秒回源带宽上限，宁可丢弃少量正常请求,也不能让源站因带宽溢出一命呜呼。
还要区分“线路类型”，单线高防的回源路径通常固定，双线或多线高防能自动优选线路，回源延迟更低，但回源带宽对源站的压力是一样的,别指望线路多就能省带宽。
接入高防前，先给源站做“减负”三件事
这一步不做，高防接入后大概率白搭。你要做的是让回源流量尽可能少，同时在源站入口加一道保险。
第一件：静态资源全部走CDN或缓存，别让高防回源
在接入高防之前，把站里的jpg、png、css、js、字体文件全部挪到对象存储或CDN上，源站只保留动态接口和页面框架，这样攻击者请求静态资源时，CDN边缘节点直接就回了，根本不回源，就算攻击者拿静态资源路径刷请求，CDN也能抗住，源站一丁点带宽都不占，操作上，在DNS解析里先把静态域名解析到CDN，主域名再走高防，很多高防CDN一体化产品也支持“缓存命中不回源”,记得在控制台打开缓存开关。
第二件：限制源站并发连接数，防CC拖垮带宽
带宽小最怕并发高，每个TCP连接就算什么都不上传下载，也要占用几十KB的窗口缓冲，攻击者开几千个连接挂在那儿不动，源站带宽就被活活占死了，在源站服务器上用防火墙或Web容器限制最大并发连接数和单IP速率，比如Nginx里加limit_conn_zone和limit_req_zone，把单IP并发限制到20以内，每秒新建连接限制到10个，这步必须在接入高防前就做好，因为高防回源过来的IP都是高防节点的IP，数量不多,限制连接数不会误伤正常用户。
第三件：源站只允许高防IP访问，禁止直连
把源站IP的真实地址藏起来，同时在云安全组或服务器防火墙上设置白名单，只放行高防回源IP段，这样就算攻击者扒出源站IP，也连不进来，具体操作：在高防控制台的“源站设置”里复制回源IP段，然后登录源站服务器，用
iptables -A INPUT -s 高防IP段 -j ACCEPT，最后加一条iptables -A INPUT -j DROP，注意把SSH管理端口也加上白名单,不然你自己都连不上。
三个典型场景的取舍策略
不同业务带宽大小和请求特性差别很大，下面直接按场景给方案,你对号入座。
企业官网，源站带宽2M，被攻击时页面打开都费劲
这类业务以静态展示为主，动态功能少，建议直接选用高防CDN模式，把官网页面整体接入CDN，回源请求控制在极低比例，源站带宽2M完全够用，因为每天真实回源流量可能连1M都不到，如果攻击者打的是首页URL，高防CDN会频繁回源刷新缓存，这时候要手动在CDN控制台设置“缓存过期时间”长一点，比如缓存静态页面10分钟，同时把源站的nginx.conf里的sendfile on打开，提高静态响应效率。2M带宽不是瓶颈，瓶颈是你有没有把静态页面彻底缓存住。
电商API接口，源站带宽10M，动态请求每秒上百次
动态请求每个都要回源，10M带宽按单次请求10KB计算，满打满算每秒只能处理128个并发，攻击者随便一刷就能打满，建议不把全部接口接入高防，而是先接高防IP，同时开启回源限速，把回源带宽限制在8M左右，留出2M给运维管理用，然后在API网关层做全局限流，每秒总请求数限制在正常峰值的1.2倍，高防那头开启CC防护策略，把“单IP每秒请求数超过5次”的请求直接拦截。这种场景的取舍是：宁可放弃部分异常流量，也要保住核心接口的可用性。
视频/下载站，源站带宽50M，热点文件都在源站
带宽看着不小，但视频文件大，单个请求就能吃掉几十M带宽，高防回源一瞬间就能打满，建议把视频和安装包转移到对象存储，源站只做接口和防盗链逻辑，对象存储自带高带宽，不怕下载流量，如果必须从源站拉流，就配合高防CDN的“Range回源”功能，让CDN分片回源，源站每次只传一小段视频，极大降低带宽峰值。这类站点的取舍是：源站带宽再大，也别直接暴露给大文件请求，能挪走就挪走。
高防接入后，日常运维要盯住这几个指标
接入不是结束，是运维的开始，在高防控制台和源站监控上,重点看以下四个数值：
- 回源带宽占用率：超过源站带宽的70%就预警,说明缓存失效或攻击者绕过了边缘层。
- 回源流量占比：正常情况下应低于30%，如果超过50%,检查缓存命中率是不是掉了。
- 拦截QPS与放行QPS：放行QPS突然猛增，说明CC策略可能过宽,需要收紧。
- 源站CPU和连接数：带宽没满但CPU飙升,可能是慢速攻击耗尽计算资源。
告警设置建议：回源带宽超过5M持续一分钟就发短信，源站TCP连接数超过5000就通知运维，据行业公开统计，大部分源站被打挂都不是因为带宽跑满，而是因为连接数或者延时异常导致服务器假死,所以连接数告警比带宽告警更优先。
关于高防接入和源站带宽，你可能还关心这几个问题
问：源站带宽小，接高防后会不会反而因为回源限速导致正常用户访问变慢？
会，但影响可控，回源限速只在高防转发数据时起作用，如果源站带宽是5M，回源限速设为6M，那你正常业务峰值如果超过5M，丢包和排队就不可避免，解决思路是先通过缓存把回源流量压到源站带宽的50%以内，再配合限速，也就是说，限速是兜底,不是主力。
问：高防和CDN先接哪个？顺序有讲究吗？
建议先接CDN，再接高防，把域名解析到CDN，CDN再回源到高防IP，高防IP再转发到源站，这样攻击流量在CDN边缘就挡掉一层，高防再过滤一层，回源流量已经非常小了，如果先接高防再接CDN，CDN节点会频繁向后端高防发起请求，高防回源带宽会白白消耗在CDN缓存上，浪费源站带宽，实际操作时，CDN源站填高防IP，高防源站再填真实服务器IP,链路就理清了。
问：源站带宽只有1M，是不是完全没法用高防？
可以，但前提是业务必须高度静态化，1M带宽意味着每秒最大传输128KB，只够支撑少量动态请求，把整站做成全静态页面或预渲染，所有内容由CDN缓存，回源请求每小时可能就几十次，攻击进来时，高防拦截掉流量型攻击，CDN扛住应用层请求，源站几乎不感知。1M带宽适合纯展示型站点，不适合有大量实时交互的业务。