攻击峰值时按需启用备用资源，核心答案是：提前部署一层可编程的流量调度层，把备用节点当作"第二道闸门"，当监控系统检测到主入口压力逼近阈值时，自动切换一部分流量到备用资源上，从而让单点拥塞根本来不及形成。
攻击峰值为什么总能击穿单点防线
很多运维同学都经历过这样的场景：业务跑得好好的，突然某个下午，监控大屏上带宽曲线直线拉满，然后机房运维电话就打了过来，你打开终端一看，netstat里全是SYN_RECV状态，正常用户已经挤不进去了，这不是网络坏了，这是攻击流量把你的入口堵死了。
单点拥塞的本质是资源上限被击穿,服务器不管配置多高，都有三堵墙：
- 带宽墙：机房给的单线带宽上限，攻击流量一到峰值，带宽直接打满。
- 连接墙：内核参数里能承载的最大并发连接数，超出后新连接直接丢弃。
- 转发墙：负载均衡器或网关的包转发速率，超出后开始丢包。
这就好比一条单车道匝道,高峰期所有的车都往这里挤，不管收费站多智能，路就那么宽，攻击者不需要多精妙的技巧，只要流量够大，单点就是会被打穿。
判断攻击峰值的三个关键信号
备用资源不是拍脑袋随便启用的,启用早了浪费成本，启用晚了来不及，所以你得有一个可靠的判断依据，业内专家指出，攻击峰值的判断不能只看流量绝对值，还得关注业务指标和网络指标之间的背离关系。
连接数异常增长但业务量没变
如果你的监控工具显示的活跃连接数在几分钟内翻了数倍,而电商订单量、API调用量这些真实业务指标纹丝不动，那么大概率是攻击流量在试探，攻击者喜欢用这种"连接数突刺"的方式，一下子把应用服务器的accept队列打满。
网络延迟突然飙升
正常业务也有波动,但延迟是渐变的，如果延迟曲线从几十毫秒突然跳到几百毫秒甚至秒级，同时源站的CPU占用率却不怎么变，说明瓶颈在网络链路上，而不是服务器本身，这时候该考虑流量调度了。
源站带宽占用率连续超过阈值
阈值设置建议参考历史峰值,比如你的业务正常大促时最高用到带宽上限的60%，那么把报警阈值设在70%是合理的，连续三分钟超过这个值，就触发备用资源启用流程。
按需启用备用资源的操作路径
判断出攻击峰值来了之后,怎么把备用资源用上？下面这套流程是业内比较通用的做法。
第一步：搭建备用资源池
备用资源池不需要和主用资源同规格,但网络能力要够，行业共识认为，备用节点的防御能力至少要和主节点相当，否则切换过去等于白切，你可以用高防IP节点，也可以直接租几台高防服务器放在不同机房。
- 提前在DNS服务商处配好CNAME解析,指向调度层的域名。
- 在调度层（比如云上的全局负载均衡服务）里把备用节点登记成"备用池"。
- 备用节点上提前部署好同样的业务代码,数据库连接信息指向同一个后端存储。
第二步：设置触发阈值和自动切换策略
这一步最关键,也是最容易出错的地方，建议不要用单一指标触发，而是用组合条件：
- 主节点入向带宽超过上限的80%，
- 且连接数同步增长,
- 且业务成功率低于正常水平10个百分点以上。
三个条件同时满足,才启动切换，这样能避免攻击流量还没到峰值就误切换，也能防止正常业务抖动触发无谓的成本支出。
第三步：执行流量切换
切换路径一般在调度层完成,你在高防CDN或全局负载均衡的控制台上，把主节点的权重从100降到50，备用节点的权重从0调到50，此时新流量会有一半进入备用节点，观察两分钟，如果主节点压力降下来了，继续降权到30、10，直到主节点的带宽占用回到安全水位。
注意这里有个细节：已经建立的TCP连接不会因为权重调整而断开，只影响新连接的分发，所以对在线用户来说，基本无感知。
避免单点拥塞的顶层设计思路
结构设计上,单点拥塞的根源是"所有鸡蛋放在一个篮子里"，备用资源只是弥补手段，想让系统更健壮，得把架构改成多入口、多路径的形状。
从单入口改为多入口收敛
就是别让你的域名只解析到一个IP上,DNS轮询是最基础的做法，进一步用Anycast技术把同一个IP广播到多个节点，流量自然就近接入，攻击者想打你的入口，就得同时覆盖所有广播节点，成本陡增。
调度层要做成"无状态"
调度层最怕自己也成为瓶颈,所以它本身要设计成无状态的，也就是说，调度层不保存业务会话，只做流量转发和权重调整，这样做的好处是，调度层可以轻松横向扩容，加机器就能扛流量。
回切比切换更考验功底
攻击峰值过去之后,流量不能一股脑收回主节点，否则很容易再次触发拥塞，合理的回切策略是每五分钟上调一次主节点权重，每次只增加10到20个百分点，同时盯着源站各项指标的曲线变化，如果发现指标反弹，立即停止回切并回调权重。
服务器被DDoS攻击了怎么办：应急操作清单
这个问题在搜索里非常高频,很多站长第一次遇到攻击时是懵的，下面是一份可以直接照着做的清单：
- 第一步：登录调度层控制台，把防护模式从"检测"切到"清洗"，让流量先过一遍清洗节点。
- 第二步：查看攻击类型，SYN Flood看连接数，UDP Flood看入向带宽，CC攻击看应用层请求数。
- 第三步：按攻击类型调整策略，SYN Flood就启用SYN Cookie，UDP Flood就在防护策略里丢弃非业务端口的UDP包，CC攻击就配置访问频率限制。
- 第四步：如果攻击流量超过了当前防护能力，启用备用资源池，把权重切过去。
- 第五步：联系托管机房的运维，申请临时null route或者上游黑洞策略，这一步通常是最后手段，因为会牺牲正常访问。
整个操作过程,建议控制在十分钟以内，拖得越久，真实用户的流失就越严重。
高防服务器哪家便宜：算清三笔账
"高防服务器哪家便宜"这个问题，很多人上来就比价格，其实比错了方向，便宜的核心指标是单位防御成本，也就是每Gbps防御峰值对应的月费用，外加被攻击后是否算入清洗次数，高防CDN和DDoS防护的区别在于，前者把流量分散到全国各地的边缘节点，后者是在入口处集中清洗，多数情况下两者配合使用效果更好。
- 第一笔账是防御能力账：同样是500Gbps防御，有的服务商给的是共享防御，有的给的是独享防御，共享防御在攻击峰值时可能被更高优先级的用户抢占资源，说白了就是"挤牙膏"，独享防御贵一点，但关键时刻顶得住。
- 第二笔账是流量清洗账：有的服务商号称低价，但清洗产生的回源流量额外收费，或者按攻击次数计费，攻击一来，账单直接翻几倍，选之前一定要问清楚：清洗流量怎么收费、峰值期间是否限速。
- 第三笔账是运维响应账：半夜两点被攻击，客服电话能否打通、工单多久响应，这些直接影响业务恢复时间，便宜几十块钱但多等两小时响应，损失远超差价。
近几年国内高防市场已经比较成熟,头部云厂商的高防产品价格差距不大，真正拉开差距的是清洗能力和服务响应，小厂的高防节点资源可能有限，遇到大流量攻击时容易出现互相挤占的情况，所以建议优先看服务商是否有自建清洗中心，再看价格。
Q&A：攻击峰值时备用资源启用的常见疑问
备用资源等于服务器多买一台机器放着吗？
不完全是,备用资源可以是物理服务器，也可以是云端的高防IP、高防CDN节点，或者混合云架构里临时扩容的云主机，关键是它要能承担真实业务流量，而不是单纯摆着做备份。
自动切换和手动切换怎么选？
有自动切换能力当然好,但建议初期用手动切换，原因是自动切换的误判率在真实环境里不低，尤其是攻击流量和业务流量混杂在一起时，自动化策略很容易误伤正常流量，跑通几次手动流程、摸清指标规律后，再逐步上自动化。
备用资源池里有多个节点，流量怎么分配？
按权重分配是最稳妥的方式,调度系统会统计每个节点的健康状态和当前负载，动态调整权重比例，如果某个节点也出现拥塞苗头，调度层会自动把它摘除，把流量引到其他节点，这个逻辑和负载均衡主备模式类似。