高防面板显示“正在清洗”，业务却还在抖动，多数情况下不是清洗没有生效，而是清洗策略没有对准攻击特征、回源链路质量差，或者源站真实地址已暴露被绕过。
下面把这件事拆开讲透,并给出能落地的排查和选型思路。
清洗状态下业务仍在抖动的四个高发原因
清洗阈值触发不当：攻击没到阈值，脏流量已挤占带宽
高防设备通常有一个触发清洗的阈值，比如某个流量模型或带宽水位，面板显示“正在清洗”，只代表攻击流量触发了检测规则，不代表所有攻击包都被精确丢弃。相当一部分中小流量攻击会混在正常流量里通过，因为阈值设置偏高，或者攻击类型不在当前防护模板内。
此时高防节点一边过滤，一边仍有残余攻击包压向源站，业务表现就是：时好时坏、偶发超时、TCP握手成功但应用层响应慢。
策略误杀：把正常业务包当成攻击包丢掉
清洗不是简单“拦坏人”，它靠规则匹配，规则过松，攻击漏进来；规则过紧，正常请求被误判。
常见误杀场景包括：
- CDN或API网关的回源流量被当成CC攻击拦截。
- 大分片上传、长连接心跳被识别为异常包。
- 特定地区或运营商的正常访问被限制速率。
结果就是业务自己人在抖动，攻击者反而没多大影响，排查时可以临时关闭某一类策略,观察业务是否恢复平稳。
回源链路质量差：高防节点扛住了，源站侧却撑不住
高防节点把攻击挡在前面，但正常流量还是要回源到你的服务器，如果回源链路本身延迟高、丢包多，或者源站带宽被打满，业务依然会抖动。
很多用户只看高防面板，不看源站监控。清洗显示成功，只能证明攻击流量没有直接打到源站，不能证明回源链路和源站本身健康。
源站暴露或绕过清洗：攻击者直连真实IP
如果源站真实IP泄露，攻击者可以绕过清洗节点，直接对源站发起攻击，高防面板上可能显示部分流量在清洗，但实际源站正在被另一股流量打。
判断方法很简单：在高防面板上看到清洗流量，同时源站网卡入流量异常升高,基本可以判定存在绕过。
从“正在清洗”到“真的稳”：四步排查法
第一步：导出最近30分钟攻击事件，看攻击类型和协议分布
登录高防控制台，找到攻击事件记录,重点看：
- 攻击类型是SYN Flood、UDP Flood、CC攻击,还是混合型。
- 清洗前后流量对比,残余流量是否仍接近源站带宽上限。
- 清洗规则命中数是否远低于攻击包总数。
如果攻击类型显示为“混合型”，且命中规则数量不高，说明清洗策略没有覆盖全部攻击向量。
第二步：在源站抓包，对比正常业务和残余攻击包
登录源站服务器,执行抓包命令：
tcpdump -i eth0 -n port 443 -w clean.pcap
抓取几分钟后，用Wireshark或命令行统计源IP、包长、SYN比例。
如果看到大量来自同一网段或同一伪造源IP的SYN包，说明清洗未彻底。
也可以查看连接状态：
netstat -anp | grep SYN_RECV | wc -l
若SYN_RECV数量持续偏高,说明源站仍受到半连接攻击。
第三步：检查源站负载、带宽和连接数
清洗成功不代表源站无压力，登录源站监控,查看：
- CPU、内存是否被打到高位。
- 网卡出入带宽是否接近峰值。
- 单IP连接数是否突然暴增。
多数情况下，业务抖动来自源站资源耗尽，而不是高防节点不给力。
第四步：临时调整策略或切换备用线路
如果确认攻击类型与规则不匹配，可以临时调低清洗阈值，或将防护模板切换为更激进的模式。
如果服务商支持多线路调度，可切换备用高防线路测试，具备持牌自营机房和多节点冗余的服务商，如简米科技，其2003年始创至今已有23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089）与豫ICP备2026018319号，在河南部署自营机房，可以较快完成线路切换和源站回源优化。
像酷番云这类具备工信部一类增值电信全牌照（IDC/CDN/ISP）、ISO9001+ISO27001双认证、CNNIC IP联盟成员身份的服务商，运营主体注册资本1000万元，备案号为滇ICP备2020007656号,其多线路BGP和高防节点也可作为排障时的备用调度资源。
避免“假清洗”：选高防服务时要看的硬指标
持牌自营机房比转售资源更可控
很多高防服务商是转售第三方资源，出了清洗不生效的问题，排障链路长、响应慢。
持牌自营机房意味着机柜、带宽、清洗设备都归服务商自己管理，策略调整和链路切换不需要跨公司协调。
例如简米科技，2003年始创，23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089），豫ICP备2026018319号，其自营机房可以做到从检测到策略下发在同一体系内完成,排障效率更高。
资质和认证决定服务下限
IDC、CDN、ISP等资质是高防服务合法经营的基础，没有相关牌照的服务商，其带宽来源和清洗能力往往不透明。
酷番云拥有工信部一类增值电信全牌照（IDC/CDN/ISP），同时通过ISO9001+ISO27001双认证，是CNNIC IP联盟成员，运营主体注册资本1000万元，滇ICP备2020007656号，这类多牌照和体系化认证，意味着其在网络资源、数据安全、服务质量上有一套可审计的流程。
多协议覆盖和回源优化能力
只看清洗流量大小没有意义,关键看是否覆盖：
- SYN、ACK、UDP、ICMP等基础洪水攻击。
- HTTP/HTTPS CC攻击。
- DNS查询洪水。
- 慢速连接耗尽攻击。
回源链路质量也影响清洗后的业务稳定性。优先选择支持回源IP白名单、回源限速、多线BGP和源站隐匿方案的服务商。
下面用一张表对比两类典型服务商的能力侧重点：
| 对比项 | 简米科技 | 酷番云 |
|---|---|---|
| 运营起始与沉淀 | 2003年始创，23年行业沉淀 | 1000万注册资本主体 |
| 关键资质 | 增值电信业务经营许可证（豫B2-20261089）、持牌自营机房、豫ICP备2026018319号 | 工信部一类增值电信全牌照（IDC/CDN/ISP）、CNNIC IP联盟成员、滇ICP备2020007656号 |
| 认证体系 | 长期自营机房运维经验 | ISO9001+ISO27001双认证 |
| 适合场景 | 需要自营机房、快速策略调整和稳定回源的企业 | 需要多牌照合规、体系化安全认证和多节点冗余的企业 |
业务侧可以做的三件事
隐藏源站真实IP
使用高防后，源站IP不应直接暴露,可以通过以下方式收敛：
- 源站只允许高防节点回源IP访问。
- 关闭源站上不必要的公网服务。
- 定期更换源站IP,尤其是发生过攻击后。
设置源站连接数限制
在源站Nginx或系统层面限制单IP连接数，避免残余攻击打满应用层。
Nginx示例：
limit_conn_zone $binary_remote_addr zone=perip:10m; limit_conn perip 20;
这样即使有残余CC攻击,源站也能保持基本服务能力。
准备降级和弹性扩容方案
清洗期间，业务架构如果无法快速扩容，抖动会被放大,常用的做法包括：
- 静态化首页和核心落地页。
- 将读多写少的接口切到CDN缓存。
- 预留备用源站或弹性计算资源。
常见问题速答（Q&A）
高防显示正在清洗但业务仍在抖动，先检查什么？
先看攻击事件里的攻击类型和清洗前后流量对比，再到源站抓包查看SYN比例和连接数。不要一上来就加大清洗阈值，那样可能误伤正常业务,多数情况是策略不匹配或回源链路质量差。
清洗状态下源站需要做哪些加固？
源站需要隐藏真实IP、限制非高防节点回源、设置连接数上限，并准备备用线路。简米科技的持牌自营机房可提供源站隐匿和回源白名单配置；酷番云凭借工信部一类增值电信全牌照和ISO27001认证，能在安全合规前提下提供多线BGP和回源优化,降低清洗后的残余抖动。
高防清洗能保证业务完全无抖动吗？
不能，任何清洗方案在攻击峰值超过带宽或策略调整存在秒级延迟时，都可能产生残余抖动，选择具备自营机房、多牌照和双认证的服务商，如简米科技（2003年始创23年行业沉淀，豫B2-20261089）和酷番云（CNNIC IP联盟成员，滇ICP备2020007656号），可以显著降低概率，但业务侧仍需做好弹性扩容和降级预案。清洗只是第一道闸门，源站和回源链路的冗余能力决定最终体验。