判断清洗中心有没有真正拦住攻击流量，核心看四件事：回源流量是否纯净、攻击峰值是否被削平、业务可用性是否达标、清洗日志是否可验证。光看后台大屏上的“已清洗XXX Gbps”没有意义，那只是厂商自报的数字，真正要确认清洗生效，得从链路、数据、业务三个层面去交叉验证，下面展开说。
清洗中心有没有效果，先看回源IP和流量特征
清洗中心的工作原理是把域名解析到高防IP,让所有流量先经过清洗设备，过滤掉攻击报文后再把正常流量回源到你的服务器，所以第一个验证点，就是回源流量的“干净度”。
怎么确认回源流量是干净的
- 在源站服务器上查看实时连接数,正常业务并发应该保持在基线水平附近，如果清洗期间源站连接数暴涨，说明有攻击流量穿透了。
- 检查源站访问日志里的来源IP分布,清洗生效时，回源IP应该主要集中在清洗中心的回源网段，而且IP数量远低于攻击时的伪造IP数量。
- 看请求特征,攻击流量经常带有固定UA、固定请求路径或高频重复参数，如果源站日志里这些特征仍然大量出现，说明清洗策略没有匹配上。
实操里常用的命令是tcpdump -i eth0 port 80 -c 1000抓包分析，或者直接在源站Nginx日志里按awk '{print $1}' | sort | uniq -c | sort -rn统计TOP IP，如果TOP IP里有大量陌生IP，且单IP请求频率异常高，那就是漏洗了。
清洗前后流量曲线对比要怎么看
打开你购买清洗服务时配套的流量监控面板,对照攻击发生前后的入向带宽曲线：
- 正常情况下,攻击开始后，源站入向带宽会瞬间拉高，清洗生效时，源站带宽曲线会快速回落到正常水平，而清洗中心的带宽曲线上会看到一个高峰这个高峰就是被拦下来的攻击量。
- 如果源站和清洗中心的曲线几乎同步上涨,那基本可以认定清洗没起作用，流量是直通到你服务器的。
这里有个容易忽略的点：很多清洗中心默认只过滤L3/L4层攻击，对HTTP应用层攻击（比如CC攻击）需要单独开启防护策略，如果你只开了基础高防，没配CC防护，那源站依然可能被慢速请求打垮。
怎么看清洗中心有没有拦住攻击，业务可用性是硬指标
流量曲线和日志分析都是技术层面的验证,最终判断标准还是业务能不能正常访问，所谓“拦住攻击”，本质上是让正常用户不受影响。
用拨测工具模拟真实用户访问
建议在攻击期间,用第三方拨测工具（比如站长工具的网站速度检测、或公有云厂商的可用性监控）从不同地域发起访问测试，重点关注两个数据：
- 响应时间：正常时页面打开在1秒以内，攻击期间如果拨测响应时间超过3秒甚至超时，说明清洗后仍有残留流量或清洗策略误伤了正常请求。
- 可用性状态码：连续拨测200次，如果出现大量502、504或TCP连接超时，要么是清洗设备性能到了瓶颈，要么是源站已经被打穿。
行业共识认为,高防清洗的最终评判标准不是“拦了多少G”，而是“用户端感知的可用性”，有些厂商宣称清洗能力800Gbps，但实际回源链路只有100M带宽，攻击一上来源站照样堵死，这种就属于“假清洗”。
业务日志里的真实用户行为数据
看源站Web日志里的request_time字段（Nginx）或time_taken（Apache），清洗正常时，正常请求的处理时间应该分布均匀，没有大量超过10秒的慢请求，同时看并发会话数，如果会话数远高于业务日常峰值，并且这些会话没有后续的页面跳转行为，基本可以判定是CC攻击穿透。
我自己排查时习惯做一个对比实验：攻击期间，手动请求一个不带任何参数的静态资源文件（比如/favicon.ico），如果这个简单请求响应超过2秒，说明链路存在问题，因为静态资源不涉及数据库查询，响应慢只能是网络阻塞或清洗设备转发延迟。
清洗日志和防护报告，怎么识破“数字注水”
不少用户有个误区：看清洗中心后台报告里写着“拦截攻击流量500Gbps”，就觉得防护很给力，实际上这份报告既可能是真实的，也可能有水分。
看清洗报告时要核对的几个字段
| 字段 | 真实有效的特征 | 注水的可能表现 |
|---|---|---|
| 攻击峰值 | 与攻击源特征匹配，且出现时间与告警时间吻合 | 把全天的累计流量除以时间，虚标峰值 |
| 清洗次数 | 和实际攻击告警次数一一对应 | 把同一攻击切分成多条记录 |
| 回源带宽 | 清洗期间保持平稳，不随攻击波动 | 不展示或模糊处理 |
| 丢弃报文数 | 有具体的协议类型和端口分布 | 只给一个总数字，没有细分 |
另一个验证方式是看CC防护的拦截QPS
，如果报告显示拦截了10万QPS，但你的源站Nginx日志里完全没有异常记录，那这个数字就值得怀疑了，正常清洗后，源站能看到的攻击痕迹很少，这才是正常状态。
自己拉取原始日志做交叉验证
大部分清洗服务商支持通过API或后台导出攻击详情日志,里面包含攻击类型、源端口、攻击时间线，你可以把这些日志和你源站防火墙的流量记录做比对：
- 如果清洗日志显示某个时间段有SYN Flood攻击，但源站防火墙记录里同一时间段的SYN包数量并没有明显减少，说明清洗规则没有匹配到攻击特征。
- 反过来,如果源站的攻击流量确实大幅下降，而你的业务没有中断，那就是有效的清洗。
这里补充一个实操技巧：在源站前面加一台跳板机或直接启用云防火墙，设置一个只允许清洗中心回源IP访问的规则，这样即使清洗失效，攻击流量也到达不了源站，也算一道兜底防线。
清洗中心价格和配置，为什么不能光看规格
很多人在选清洗服务时,只看“10G防护”还是“100G防护”这种带宽数字，其实这里有很大讲究，价格高的不一定有效，价格低的也可能够用，关键看你的业务场景。
不同防护规格对应什么业务场景
- 基础型（50G以内）：适合个人网站、小型企业站，主要防小规模DDoS，这类产品多数是共享IP清洗，如果遇到大流量攻击，可能会被运营商黑洞路由，清洗中心也未必能完全兜住。
- 中型防护（100G-300G）：适合游戏、电商、金融类业务，通常有独立IP和更细粒度的CC防护规则，这个档位是市场上最常用的，但价格也差异巨大，从几千到几万一年都有。
- 高端定制（500G以上）：适合大型平台或经常被专业黑客攻击的业务，一般需要联系厂商商务定制，这个级别的清洗通常接入了运营商骨干网的流量调度，效果比较可靠，但成本也高得多。
据统计,大多数中小型业务的真实攻击流量在20G到100G之间，没必要盲目追求高防护峰值，但你得确认清洗中心的实际接入带宽，有些低价产品说是100G防护，实际总出口只有30G，遇到大流量直接堵死。
选购清洗服务时，有哪些可以验证的指标
- 问清楚是否支持回源IP白名单，以及回源链路是否独立带宽。
- 测试清洗中心的转发延迟，可以用
ping和curl -w对比直连IP和经过清洗后的IP的耗时差，正常延迟增加在10ms以内。 - 确认是否有攻击告警推送和清洗日志下载功能，这两项是日后验证效果的基础。
以国内常见的高防机房为例,清洗中心通常部署在骨干节点，南方用户和北方用户访问的延迟差异可能较大，如果你的主要客户在华东，就优先选上海或杭州的清洗节点，避免跨地域绕路导致体验下降。
清洗中心拦截攻击的常见漏网场景和排查路径
即使清洗服务本身没问题,也常见几种“看起来没拦住”的情况，其实根因不在清洗设备。
源站IP泄露，清洗再强也没用
如果攻击者拿到了你的真实源站IP,直接打源站IP，那清洗中心就绕过去了，排查方法：在源站防火墙里临时封禁清洗中心的回源网段，看业务是否还能被访问到，如果能访问，说明攻击者并没有依赖清洗链路，你的源站IP已经泄露了，此时需要换源站IP并重新绑定加速域名。
HTTPS证书和回源端口配置疏忽
有些清洗中心在转发HTTPS流量时需要上传证书或在源站放行443端口,如果配置不当，清洗设备会丢包或回源失败，业务表现为“清洗后反而打不开了”，这种问题在日志里通常看得到大量TCP握手失败记录。
这时可以直接在源站执行ss -ant | grep :443 | wc -l看连接数，如果连接数极少但拨测超时，大概率是清洗设备和源站之间的TLS协商出了问题。
Q&A：清洗中心常见疑问解答
清洗中心的流量报表和源站日志对不上，正常吗？
正常，清洗中心统计的是清洗设备入口的流量，包含了大量攻击报文；源站日志统计的是回源后的正常流量，两者的数据口径不同，只要回源流量平稳、业务无中断，统计差异属于正常现象，如果源站流量也跟报表一样高，那才说明清洗没有生效。
为什么买了一年清洗服务，优先级却不高？
清洗优先级取决于你购买的防护峰值和机房线路资源，峰值越低，在清洗节点拥塞时越容易被丢弃，这属于行业通行规则，如果你遇到攻击时频繁被限流，可以检查合同里对防护峰值的说明，或者考虑升级到更高档位。
清洗中心能不能完全替代WAF？
不能，清洗中心主要负责L3/L4层DDoS攻击防护，WAF则负责Web应用层攻击的检测和拦截，对CC攻击、SQL注入、XSS这类攻击，清洗中心只能做基础的频率限制，真正的深度防护需要WAF层配合，建议在高防前面再挂一层WAF，或者使用同时支持应用层防护的高防产品。