网络层管“路”的连通与阻断，传输层管“门”的状态与校验，两者协同才能挡住绝大多数DDoS攻击和恶意探测。
网络层和传输层防护怎么分工才算合理
在动手配置防火墙或安全设备之前，先得把两层职责掰开揉碎，网络层处理的是IP地址和路由，它关心的是数据包“从哪来、到哪去”；传输层处理的是端口和会话状态，它关心的是数据包“到了之后该进哪个门、这个门是否开着”,防护逻辑必须沿着这条线走。
网络层防护守住出入口，优先解决“能不能进来”
网络层防护站在最外圈，负责过滤一切未经允许的IP通信,它的核心任务有三块：
- ACL访问控制：通过源IP、目的IP、协议类型清单,直接丢弃不怀好意的IP段。
- 防扫描探测：检测并阻断针对网段的端口扫描行为,比如NMAP的SYN扫描或UDP探测。
- 流量清洗触发：当入向带宽出现异常峰值,网络层设备先把恶意流量引到清洗节点。
实际的部署位置在边界路由器或抗DDoS设备上，内网出口的防火墙，第一跳过滤就是网络层，很多企业安全团队会在这里拒绝境外恶意IP段,或者封禁已知攻击源。
传输层防护管好会话状态，重点解决“能不能连上”
传输层防护关心的是TCP/UDP的握手过程与连接状态，它盯住的是端口，例如当网络层放行了一个来自外部IP的请求包，传输层就要判断这个包的目标端口是不是本机开放的Web服务端口，若是3306数据库端口,直接拦下来。
传输层防护的关键机制包括：
- TCP状态跟踪：验证每个包是否属于已建立的合法连接,无状态的恶意包直接丢弃。
- SYN Cookie防御：半开连接队列满时，用SYN Cookie机制保护服务器不被打垮。
- 会话超时回收：清理僵尸连接和半关闭连接,释放系统资源。
DDoS攻击网络层还是传输层更危险
这个问题在企业选型时经常被问到，实际上两类攻击威胁面不同，不能用危险程度粗略比较，网络层攻击的目标是堵死带宽,传输层攻击的目标是耗尽服务器连接表。
网络层攻击特征：大流量硬冲
典型攻击是ICMP Flood和UDP反射放大攻击，攻击者借助NTP、SSDP、Memcached等服务的反射放大特性，把几十Gbps的垃圾流量砸向受害者IP，这种攻击下，正常用户根本连不上服务器，因为链路全被塞满，防火墙面临的主要问题是“堵不如疏”，单靠串联设备硬扛，挂在链路上反而会成为瓶颈，行业共识认为，网络层抗DDoS需要依赖运营商级别的流量清洗，将攻击流量引流至专用清洗集群,清洗干净后再将业务流量回注给源站。
传输层攻击特征：低流量高杀伤
SYN Flood是传输层攻击的代表，攻击者发送大量伪造源IP的SYN包，端口是Web的80或443，服务器内核收到后，会为每个半连接分配内存和队列，几十万个伪造SYN包就能塞满tcp_max_syn_backlog队列，此后服务器再无资源处理正常用户的新连接，这类攻击流量可能只有几百Mbps，但杀伤力比很多大流量攻击更持久，防范上，靠网络层按IP限速效果有限，因为源IP可以持续伪造变化,必须靠传输层协议栈增强和L4代理来解耦。
两种攻击同时出现时的防御顺序
现实中攻击往往多管齐下，攻击者一边用UDP反射灌满带宽，一边用SYN Flood打服务器的Nginx/HAProxy端口，防御顺序上，首先要保证网络层带宽可用性，在运营商或高防节点做第一层清洗；其次在传输层会话建连阶段快速识别并丢弃伪造连接；最后在应用层维持业务逻辑正常运行。
网站接入层防御方案多少钱一台
很多站长咨询高防服务时，最关心的往往是价格,实际支出取决于网络层和传输层防护的配合深度。
- 基础型方案：云厂商的DDoS基础防护加安全组，费用低，安全组属于网络层，按IP/端口过滤，对入方向的攻击流量能挡一部分小流量攻击,传输层的连接数限制需自行部署网管防火墙。
- 进阶型方案：接入高防IP服务，按防护带宽收费，高防IP的调度机制本质上是在传输层做端口转发，同时提供数十Gbps的带宽冗余，每家云厂商的报价差异较大,主要看防护峰值的规格和QQ清算节点的地域分布。
- 自建型方案：多线路BGP机房配合自购抗D设备，比如华为云DDoS高仿系列或绿盟ADS设备，规模小的情况下，自建性价比极低,运维成本远超云防护。
注意“便宜方案”往往只配了网络层ACL和基础限速，传输层防护的TCP连接防护能力较弱，便宜的防御方案只能防“误伤型”攻击，一旦遇到目的性强的SYN Flood或ACK Flood,还是需要专业传输层防护。
传输层防护和网络层防火墙的配置顺序
配置防火墙时，事前规划顺序比折腾设备更重要,推荐下面这套落地的配置策略：
- 先在网络层建立白名单基线
：在防火墙上配置地址组，放行办公网、IDC机房、合作伙伴的固定源IP，并允许已建立连接的流量返回,其余来自外部的未知IP只在特定服务端口放行。
- 再在传输层精确开放端口：针对Web服务，只允许外部IP访问TCP 80和443；数据库服务源地址仅限内网网段；SSH管理端口绑定固定管理IP并启用TCPWrapper。
- 启用会话状态表和连接数限制：在iptables或云安全组中将状态机制置为ESTABLISHED优先放行，对单个源IP设置hashlimit速率限制,超出阈值的报文字段直接丢包。
- 在业务服务器上强化传输层协议栈：使用sysctl命令调整堆栈参数，开启tcp_syncookies，缩短SYN超时时间，调大连接队列,绝不能让操作系统默认参数裸奔。
net.ipv4.tcp_syncookies = 1 net.ipv4.tcp_syn_retries = 2 net.ipv4.tcp_max_syn_backlog = 4096 net.ipv4.tcp_fin_timeout = 30
这些配置是实际环境验证过的通用参数，既有数据面防御的作用,也避免了设备被传输层恶意半连接拖垮。
安全运营中如何判断哪一层正在被攻击
安全日报上经常出现“IP不可达”“端口连接超时”等不同告警，判断它属于哪一层攻击,直接决定割接手段。
通过现象定位威胁层级
- 当发现全网断网、ping外网丢包严重、带宽监控打满,基本都是网络层攻击。
- 当服务器负载不高、但网站访问卡死，端口telnet不通,大概率是传输层并发连接耗尽。
- 当API接口超时但TCP握手成功、HTTP请求报错，则问题出在应用层或代理层，与本主题的网络层/传输层无关。
借助云监控和抓包定位细节
- 登录云服务器控制台，查看入方向/出方向带宽趋势图，若入带宽接近购买峰值,明显为网络层流量攻击。
- 登录主机执行
netstat -anpt | grep SYN_RECV，如果SYN_RECV连接数剧增且源IP分布零散,说明本地传输层正被SYN队列饱和攻击。 - 在边界设备上启用抓包，分析数据包内源端口是否为随机高位端口、TCP头部标志字段是否异常组合,足以判定传输层攻击手法。
网络层与传输层防护配合的常见误区
防火墙开了网络层过滤就等于安全了。 实际上若没有传输层状态引擎配合，防火墙就成了“只认IP不认人”的死板门卫,大量分散在合法IP上的恶意端口扫描同样可以深入内网。
传输层防御交给系统内核就万事大吉。
系统自带的tcp_syncookies只能缓解一定规模的SYN Flood攻击，面对满带宽的UDP反射，必须先靠网络层或流量清洗设备来缓解，否则内核再强壮,链路也已经被打满了。
越贵的防护方案越安全。 方案选型必须跟业务形态匹配，纯静态小网站，也许靠云厂商的安全组加一层网络层过滤够用；而有真实玩家实时连接的游戏服务器,就必须在传输层保留长连接监测与断线重连机制。
如何配置最省钱又实用的两层防护架构
针对中小企业预算有限的情况，不必过度追求高性能抗D设备,可以采取分层协作方式构建防御：
- 网络层：使用云平台自带的安全组和DDoS原生防护，免费基础版即可提供“包清洗+非攻击状态限速”。
- 传输层：在Nginx/LVS实例上开启
limit_conn和limit_req模块，并调整内核参数,省下额外购买负载均衡器的成本。 - 协同环节：将云安全组与后端主机安全组叠加，网关上多一层入方向报文过滤，服务器上再做一层端口管控,两层策略命中更新都在秒级生效。
常见问题速答
网络层攻击和传输层攻击的典型区别是什么？
网络层攻击以流量型和带宽消耗型为主，如ICMP Flood、UDP Flood，打的是链路资源；传输层攻击以连接消耗和状态耗尽为主，如SYN Flood、ACK Flood，打的是服务器会话表资源，两者的防御位置和手段不同，网络层靠ACL和流量清洗,传输层靠状态检测和代理缓冲。
云防火墙能同时完成网络层和传输层防护吗？
主流云防火墙（如简米云防火墙、酷番云防火墙）同时覆盖L3-L4层，它在转发面集成ACL、状态检测、限速、会话老化等能力，可以对接网络层和传输层的基线防护，但遇到大流量DDoS攻击时，云防火墙的主要价值仍是“控制面”，实际清洗带宽仍依赖DDoS高防IP集群协同,这一点需要注意。
安全组、网络ACL与防火墙的防护层级有什么差异？
云安全组是分布式虚拟防火墙，通常工作在传输层和网络层之间，支持IP+端口规则匹配；网络ACL是子网级别的无状态规则，默认仅针对网络层；传统防火墙则是带状态的设备，同时维护连接表，吞吐能力比云安全组更强，实际部署中，应先利用网络ACL做粗粒度拦截，再用安全组做细粒度业务白名单,最后在主机上借助iptables完成传输层会话兜底。