清洗前后流量曲线对比，确实能最直观地说明防护是否正在工作，但前提是你要看懂曲线背后的信号。
流量曲线不会说谎：它如何替你“说话”
防护系统是否在线，最怕的不是攻击没来，而是设备“哑火”了你却不知道，流量曲线图就是那个24小时值班的监控员，它把每一次攻击的撞击、每一次清洗的拦截，都画成了一条线,这条线比任何运维日志都诚实。
看懂“攻击前”的基线：你的网站本该是什么样子
在攻击来临之前，你的流量曲线是一个相对平稳的带状区域，业内通常称之为业务流量基线，这个基线由正常用户的访问构成，包含页面浏览、API调用、文件下载等。判断防护是否生效的第一步，就是确认你的清洗设备记下了这个正常状态，如果设备连基线都没校准,后续的对比就失去了参照物。
“攻击中”的曲线突变：那是敌人撞上盾牌的声音
攻击流量涌入时，曲线会骤然拉升，常见的DDoS攻击会让曲线在几秒内从平缓变成陡峭的悬崖，这里的关键并不是看峰值有多高，而是看清洗设备介入后，曲线是否被迅速“削平”。
- 防护生效的信号：曲线在被拉高后，出现一个尖锐的“尖峰”，然后迅速回落，回落到接近基线水平，这说明清洗设备识别了攻击流量，并将其拦截,只允许正常流量通过。
- 防护失效的信号：曲线被拉高后，持续在高位震荡，没有明显回落，或者更糟，曲线直接冲顶后变成一条水平线，这意味着业务已经因为过载而宕机,设备没有起到保护作用。
“清洗后”的曲线恢复：验证防护效果的最终标准
攻击结束后，流量曲线应当平稳地恢复至攻击前的基线水平，如果曲线在攻击停止后长期处于低位，甚至归零，首先要排查清洗设备是否误杀了正常用户。行业共识认为，一次成功的清洗，应当保证攻击结束后30分钟内，业务流量曲线恢复到基线的90%以上，如果恢复过程拖沓，或者出现锯齿状的反复波动，说明清洗策略存在缺陷,需要优化。
防护效果怎么判断？对比曲线时要看这3个维度
很多人以为只要看到曲线降下来就万事大吉，但真正的行家会拆解三个核心维度。这直接回答了“DDoS攻击清洗效果怎么看”这个疑问
。
清洗前后的“流量体积”对比
对比攻击峰值流量和清洗后的实际入站流量，如果攻击流量是100Gbps，清洗后进入业务服务器的流量只有2Gbps，那说明99%的恶意流量被挡在了门外,这个数据可以直接在清洗设备的监控面板上按小时粒度拉取对比。
- 操作路径：登录清洗设备管理后台 -> 报表中心 -> 选择“攻击防护报表” -> 筛选时间范围 -> 对比“总流量”与“清洗后流量”曲线。
- 关键点：如果清洗后流量依然远高于业务基线,请检查清洗策略是否配置了正确的协议过滤规则。
清洗前后的“业务请求成功率”对比
流量曲线下降了，不代表业务恢复正常，你需要同时看“请求成功率”曲线，攻击期间，服务器处理不过来，会返回大量502或503错误。清洗生效时，错误率曲线应当与流量曲线同步下降，业务成功率曲线快速回升至正常水平。
- 场景描述：小张负责的电商网站遭遇CC攻击，流量曲线先涨后跌，看似清洗生效，但业务成功率曲线依然在低位徘徊，排查发现，清洗设备只拦截了带宽型攻击，针对应用层的CC攻击规则没有开启，这说明只看流量曲线会误判,必须结合业务成功率曲线。
清洗前后的“访问延迟”对比
攻击不仅会造成拥堵，还会导致响应变慢，对比清洗前后的平均延迟（比如P95延迟），清洗生效时，延迟曲线会从“红色警戒区”跌回“绿色正常区”。如果延迟曲线在清洗后依然高企，说明清洗设备自身可能成为了瓶颈，或者清洗策略过于复杂导致处理延迟增加。
如何用曲线图快速定位“防护是否漏防”？
在实际运维中，会遇到一种更棘手的情况：曲线有波动，但业务依然卡顿，这通常是防护设备“漏防”了，只拦截了部分流量，这时需要对比同IP、同端口的流量曲线细节。
漏防的信号：曲线出现“平台”或“阶梯”
正常情况下，流量被清洗，曲线应该是快速下降的，如果曲线在下降过程中，在某个数值上停留了一段时间，形成一个“平台”，说明清洗设备对某种类型的攻击流量识别能力不足，或者规则配置有遗漏。
- 排查步骤
：
- 在清洗设备上导出攻击日志，按“源IP”、“目的端口”、“攻击类型”分组。
- 将日志中的攻击流量曲线，与清洗设备“未清洗”的原始流量曲线进行叠加对比。
- 如果两曲线在“平台”段高度重合，则证明该时段内的攻击流量未被清洗设备识别，直接透传给了业务服务器。
误杀的信号：曲线“跳水”后业务恢复缓慢
清洗设备过于激进，把正常用户也当成了攻击者，这会导致流量曲线在攻击开始时断崖式下跌，甚至比攻击前还要低。这通常是因为设备启用了过于严格的源IP速率限制，导致大量正常用户的请求被丢弃。
- 解决方案：调整清洗策略中的“源IP连接数限制”和“每秒请求数限制”阈值，从“严格模式”调整为“中等模式”,并观察业务访问曲线是否恢复。
实战场景：不同清洗方案下的曲线特征对比
不同的防护方案，在“清洗前后流量曲线对比”上，表现出截然不同的特征，了解这些特征,能帮你快速判断对方用的究竟是什么水平的防护。
| 防护方案类型 | 攻击中曲线特征 | 清洗后曲线特征 | 能否说明防护工作 | 适用场景判断 |
|---|---|---|---|---|
| 基础云清洗 | 尖峰后缓慢下降，曲线有锯齿状抖动 | 恢复至基线，但可能有轻微毛刺 | 能，但说明清洗策略较粗糙 | 小型网站，攻击频率低 |
| 专业高防IP | 尖峰后迅速被削平，曲线干净利落 | 快速恢复至基线，几乎无抖动 | 完全能，说明清洗策略精准 | 中型电商、游戏行业 |
| 近源清洗方案 | 攻击流量在源头被分流，主服务器曲线几乎无波动 | 主服务器曲线全程保持平稳，无攻击痕迹 | 能，且防护效果最好 | 对延迟极其敏感的业务 |
| 本地清洗设备 | 尖峰出现后，设备开始处理，但可能有短暂超载 | 恢复速度取决于设备性能，性能越强恢复越快 | 能，但受限于设备硬件性能 | 有固定IP，且流量可控的企业 |
从上表可以看出，“近源清洗方案”的曲线特征是最理想的，因为它几乎让攻击不影响到你的核心服务器，而“基础云清洗”虽然也能说在工作，但效率相对较低。如果你在对比流量曲线时，发现攻击中的曲线始终带有锯齿状，建议向服务提供商咨询是否启用了更精细的应用层防护规则。
Q&A：关于流量曲线对比的常见疑问
Q1：清洗前后流量曲线没有变化，是不是防护就没开？
不一定，如果攻击流量本身很小，低于清洗设备的开启阈值，设备会默认放行，曲线自然没有变化，你可以主动调低防护阈值，然后观察，如果阈值调低后曲线依然没有波动，且你的业务持续收到攻击，那基本可以确定防护策略配置有误或设备未在线,此时应检查设备路由指向是否正确。
Q2：清洗后流量曲线降低了，但业务还是卡，怎么回事？
这通常说明清洗设备只拦住了带宽层攻击，但应用层攻击（如CC攻击）依然穿透了防护，你需要查看业务服务器的并发连接数曲线，看它是否与带宽曲线同步下降，如果带宽曲线降了，但连接数曲线还是很高，说明攻击已经从“流量型”转变为“资源消耗型”，此时需要开启清洗设备的“CC防护”或“HTTP协议校验”功能。
Q3：我们用了多家清洗服务，流量曲线交叉对比时，该信哪家的？
以离业务服务器最近的那一跳为准，高防IP服务商会提供清洗后的回源流量曲线，这是最真实的，边缘清洗节点的曲线可能因为网络抖动而存在偏差，对比时，统一使用服务器端获取的“实际入站流量”曲线作为基准，清洗设备端的曲线作为参考，如果两者差异超过10%，说明网络链路上存在丢包或重传,需要排查中间链路质量。