别再拍脑袋定防护规格，先测算业务真实攻击量级，按流量峰值、请求速率、连接数三个指标选防护，才能避免带宽买小被打穿、买大烧钱。
为什么“拍脑袋定防护”是最常见的烧钱方式
很多运维被问“要多大防护”时，第一反应是估一个整数：50G、100G、200G，这个整数往往来自同行截图、销售推荐或者干脆是老板的心理价位,结果只有两种：
- 买大了：实际攻击峰值不到5G,却按月付着大带宽高防费用。
- 买小了：攻击一来超过阈值，触发黑洞路由,业务直接断线。
攻击量级从来不是一个固定数字，同一个业务，促销期间攻击量级可能翻几倍，被竞争对手盯上时，攻击手法也会变，拿一个拍脑袋的整数去匹配动态攻击,本身就是错配。
攻击量级怎么测算？三个维度比拍脑袋可靠
攻击量级不是只指带宽，真正要落地的防护规格,至少看三个维度：
流量维度：入向带宽和包速率
- 带宽单位Gbps,决定防火墙和清洗设备要扛多大流量。
- 包速率单位pps，很多小包攻击带宽不大但包速率极高,会拖垮交换机。
- 实操命令：在Linux服务器上跑
iftop -i eth0看实时流速，用tcpdump -i eth0 -nn -c 5000抓包后统计包大小分布。
请求维度：QPS、CPS和并发连接
- QPS（每秒请求数）针对HTTP/HTTPS类CC攻击。
- CPS（每秒新建连接数）针对TCP连接耗尽型攻击。
- 并发连接数决定高防节点是否会被会话表打满。
- 实操命令：从Nginx访问日志按分钟统计QPS，
awk '{print $4}' access.log | cut -d: -f2,3 | uniq -c | sort -rn | head。
时间维度：持续时长和攻击频率
- 持续30秒的攻击和持续6小时的攻击,所需防护资源和成本完全不同。
- 记录最近一个月攻击发生的时段、间隔、峰值变化,能判断是偶发小流量还是持续对抗。
把这三个维度做成表格或填进运维文档,就能算出一个真实的攻击基线。
100G攻击需要多大防护？量级决定配置下限
很多企业开口就问“100G攻击需要多大防护”，但可能连自己是否真遇到过100G攻击都不清楚,先要对号入座：
| 真实攻击量级区间 | 建议防护带宽下限 | 适用场景 |
|---|---|---|
| 低于5Gbps | 10-20Gbps保底 | 小型官网、个人站、测试业务 |
| 5-20Gbps | 30-50Gbps保底+弹性 | 中型电商、游戏服、API接口 |
| 20-50Gbps | 100Gbps以上清洗能力 | 金融、政务、大型对战平台 |
| 高于50Gbps | 定制运营商级清洗或分流 | 头部直播、支付、核心业务 |
这张表不是固定模板，而是提醒：防护带宽至少是攻击峰值的1.5到2倍，因为清洗设备本身有性能损耗,且攻击流量可能瞬时超过监测到的均值。
攻击量级怎么测算完成后，才能判断100G攻击需要多大防护，没有量级数据,任何数字都是空中楼阁。
高防IP多少钱一个月？先算清攻击量级再比价
高防IP的价格由三块组成：
- 保底防护带宽：按月固定收费,决定基础能力。
- 弹性防护带宽：按天或按攻击峰值计费,适合攻击量级波动大的业务。
- 业务带宽：正常业务访问需要的干净流量,通常单独计费。
很多销售会先问“你要防护多少G”，如果答不上来，对方大概率会报一个中位数套餐，这个套餐很可能不适合你的真实攻击量级，正确顺序是先完成攻击量级测算,再拿着量级区间去询价。
举例：一个日均攻击峰值只有8G的业务，买100G保底就是浪费，但一个攻击峰值经常到30G的业务，只买20G保底加弹性，攻击一来就要支付高额弹性费用，长期反而更贵。
价格比较必须建立在同一攻击量级区间上。
北京高防服务器租用怎么选？攻击量级决定节点规格
选高防节点不是哪里便宜选哪里,而是看业务用户分布和攻击来源。
用户集中在北方，北京高防服务器租用是合理选择
- 北京节点到华北、东北、西北的链路质量稳定,正常业务延迟低。
- 适合政府、国企、北方本地化业务,合规要求也更明确。
- 但北京机房监管严格，带宽资源相对紧张,高防规格上限可能不如南方部分节点。
用户分布全国或海外，要搭配其他地域清洗节点
- 南方用户多优先考虑杭州、深圳节点。
- 海外攻击为主可加香港高防或海外清洗中心。
- 关键业务建议主备双节点,主节点被打穿时自动切换备用线路。
地域选择本质上是攻击量级与业务延迟的权衡，如果攻击量级很大但用户都在北方，优先保证清洗能力,延迟可以接受略高几毫秒。
实操：从攻击日志反推防护规格的五个步骤
这部分是全篇最可验证的内容,直接给操作路径。
-
导出最近30天流量监控数据
从云监控、IDC流量图或交换机SNMP里取数，保留时间戳、入向带宽、出向带宽、包速率、连接数。 -
筛出异常峰值时段
用脚本或Excel筛选出带宽或连接数突然升高的时间点。
Linux命令示例：grep "alert" /var/log/messages或查看/var/log/nginx/access.log里状态码异常增加的时段。 -
计算三个核心值
- 最大入向带宽（Gbps）
- 最大包速率（pps）
- 最大HTTP请求速率（QPS）
取三次攻击事件中的最高值,不要取平均。
-
乘以冗余系数
行业共识认为，清洗设备实际转发能力会有损耗，防护带宽至少按峰值5到2倍配置，比如实测最大攻击15G,保底带宽买30G更稳。 -
输出防护规格单
形成类似这样的结论：- 保底防护带宽：30Gbps
- 弹性防护带宽：按100Gbps上限开通
- 业务带宽：50Mbps
- 并发连接数：不低于50万
拿着这个单子去比价,不同厂商的报价才有可比性。
量级先于比价，防护才不会返工
攻击量级是防护规格的锚点，跳过测算直接选套餐，要么被打穿，要么多花钱，先用日志和监控数据画出自己的攻击基线，再按1.5到2倍冗余定保底,最后才谈地域和预算。
Q&A：攻击量级相关高频疑问
攻击量级测算时只看带宽就够吗？
不够，带宽只反映流量大小，很多CC攻击和TCP连接耗尽攻击带宽并不高，但QPS或CPS会很高，必须同时记录入向带宽、包速率、每秒请求数和新建连接数,才能还原完整攻击量级。
攻击量级突然增长怎么调整防护规格？
先判断增长是偶发还是持续，偶发尖刺可以用弹性防护带宽临时扛，不用升级保底，持续增长则要重新测算最近两周的攻击基线，并同步检查源站是否已经暴露，若是业务量正常增长带来的访问峰值，还需要扩容业务带宽,不能只加高防。
小企业攻击量级通常多少？要不要直接上高防？
多数小企业正常业务带宽在10Mbps到50Mbps之间，攻击量级多数低于5Gbps，但个别被恶意竞争或勒索时会短时抬到20G以上，直接购买大带宽高防IP月付成本较高，可以先使用云厂商提供的基础DDoS防护，再根据实测攻击日志决定是否升级到独立高防IP，基础防护通常在触发阈值后只提供有限清洗,超大攻击仍需专业高防节点。