攻击流量一旦超过单机防御上限，源站基本处于“半死”状态，这时候最有效的动作不是加规则硬扛，而是立刻切走流量，把战场搬到高防节点或临时云服务器上。
服务器被攻击超过单机防御上限怎么办？先做三步应急
单机防御上限很好理解：一台云服务器或物理机，它的外网带宽、网卡吞吐、CPU处理能力、连接数都有硬顶，攻击流量一旦超过这个硬顶，服务器自己再优化配置也白搭，因为流量堵在入口，请求还没到业务层就已经丢包，常见表现是带宽跑满、SSH断连、网站超时、控制台卡顿。
判断是否超限,先看三个点：
iftop -i eth0看实时外网流量，如果持续打满云厂商标称带宽,说明大概率超了。netstat -n | awk '/^tcp/ {print $5}' | sort | uniq -c | sort -nr | head -20看连接来源,攻击时会有大量来自同一网段或同一地区的短连接。ss -s看总连接数，单机承载几万并发连接后，内存和CPU软中断会明显升高,正常业务基本不可用。
确认超限后,三步应急：
第一步，控制台开基础防护或清洗。 多数云厂商对单台云服务器提供几G的基础DDoS防护，但仅限低强度攻击，超过基础防护后，服务器会被黑洞，也就是暂时从公网拉黑，这时候不要等黑洞解除,直接切走。
第二步，系统层面临时限速，给正常访问留一线。 对HTTP服务可以做简单的连接数限制：
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 100 -j DROPiptables -A INPUT -p tcp --dport 80 -m limit --limit 50/s --limit-burst 100 -j ACCEPTiptables -A INPUT -p tcp --dport 80 -j DROP
这几行能挡住部分CC攻击，但对大流量UDP洪水没多大意义,它的作用只是让服务器不至于完全失联。
第三步，改解析。 如果域名A记录直接指向源站IP，立刻把A记录改到备用IP、高防IP或CDN的CNAME，TTL平时就建议改成300秒，遇到攻击时切换生效更快，改完解析后,老IP黑洞不影响新节点。
别在单机上花时间拉黑IP列表，攻击超单机上限时单机防护基本没用，单机上的所有操作，目的只有一个：争取时间完成外部切流。
高防IP和CDN哪个防攻击效果好？看业务场景选
攻击超单机上限后，多数人会面临这个选择，高防IP和CDN都是把攻击流量从源站引开,但原理完全不同。
| 维度 | 高防IP | CDN |
|---|---|---|
| 防护原理 | 流量先到高防机房清洗，再回源 | 多节点分摊，隐藏源站IP |
| 适合业务 | 游戏、APP、API接口、非网页类 | 网站、下载站、静态资源 |
| 防护弹性 | 多数可扩到数百G甚至T级 | 单节点防护有限，整体分散 |
| 接入方式 | 改解析或换IP | 改CNAME |
| 回源风险 | 必须隐藏源站，否则被打回源 | 同样要隐藏源站 |
网站、下载站、图片站优先选CDN。 因为CDN节点多，静态内容能被缓存，攻击流量在边缘就被分摊，回源比例很低，接入也简单,域名解析改成CNAME就行。
游戏、APP、实时API优先选高防IP。 这类业务没法大量缓存，请求必须回到源站处理，高防IP通过BGP牵引把流量引到清洗中心，过滤后把正常流量回源，防护上限可以按需弹性调整,适配突发大流量。
实际生产环境多数是两者叠加。 前面挂CDN挡掉廉价攻击，后面高防IP兜底回源，有些公司还会加一层云清洗，形成“大流量牵引清洗、小流量边缘过滤、源站只接受白名单回源”,这样单机上限不再是瓶颈。
被攻击了怎么快速迁移到云服务器？操作路径在这里
如果源站已经黑洞或者响应极慢，迁移到新云服务器是恢复业务最快的路，关键是提前有镜像、提前有备份、提前调短TTL，临时抱佛脚也能做,但时间会拉长。
先把“尸体”里的数据拿出来
原服务器被攻击时，多数情况下SSH还能勉强连上，或者通过云控制台VNC进去,优先做：
rsync -avz -e "ssh -p 22" /var/www/ user@新服务器IP:/var/www/mysqldump -u root -p dbname > db.sqlscp db.sql user@新服务器IP:/root/
如果连不上，直接用云厂商的快照或镜像功能，先对原服务器创建镜像，再用镜像在新地域开一台同配置实例，这个过程不需要登录原服务器,只要原服务器还能被控制台识别。
部署临时环境
新服务器尽量选择不同地域、不同线路，比如原服务器在华北，可以临时开一台华东实例，避开同一清洗区域和同一黑洞路径，系统版本、Web服务、数据库版本保持跟原来一致，减少兼容问题，恢复备份后改数据库连接配置,然后本地curl新IP测试业务是否正常。
切解析并隐藏新IP
域名解析改到新服务器IP，或者先指向高防IP再回源到新服务器，老IP在黑洞期间业务不影响新IP，但有个致命细节：新服务器IP不要直接暴露，攻击者如果发现业务还在，可能顺着解析找到新IP直接开火，所以切解析的同时，要么接入CDN，要么接入高防IP,源站只用内网回源地址。
北京服务器防攻击迁移，节点选择有讲究
假设你的业务在北京机房，攻击超单机上限后,迁移到哪里的节点要分情况看：
- 用户集中在北方：优先选北京及周边可用区，延迟低、体验好，但如果是同区域线路被打满,跨区域反而更稳。
- 攻击来源于同区域：可以临时切到上海或广州高防集群，延迟增加几十毫秒，多数业务感知不明显,但防御能力明显提升。
- 北京服务器防攻击迁移的常见做法是原业务保留备份，主入口切到高防BGP节点,回源到北京源站只允许高防回源IP访问。
地域选择没有固定答案，要同时考虑用户分布、攻击来源、回源延迟和成本。
ddos攻击防御方案价格大概是多少？别只看标价
攻击超单机上限后，很多人第一反应是问价格,实际上防御成本分三块：
- 基础高防IP：按保底防护带宽计费，从几十G到几百G级别不等，每月费用差异较大，具体数字各家云厂商不同,建议直接比价。
- 弹性防护：攻击超过保底后按天或按小时计费，适合偶尔被攻击的业务，平时买较低保底,被攻击时自动触发弹性。
- 带防护的CDN套餐：按流量和请求数计费,网站类业务用起来成本更低。
避坑点：不要只看“最大防护多少T”的宣传，要看回源带宽和清洗延迟，有些高防产品标称能扛大流量，但清洗后回源带宽很小，正常用户访问依然慢，另外还要确认高防IP是否支持
弹性扩容,以及攻击结束后是否自动恢复基础计费。
行业共识认为，超单机上限后的迁移与防护成本，应该把业务中断损失算进去，而不是只比较月费，一次几小时的业务停摆,损失通常远高于几个月的高防费用。
长期方案：别让下一次攻击还靠应急
应急和迁移解决的是当前问题,长期必须把单点改成多点。
- 边缘层：CDN或高防IP扛第一波流量,所有公网入口不再指向源站。
- 接入层：负载均衡加多台源站，不再依赖单机上限，某台被打或故障,集群自动摘除。
- 数据层：数据库、文件做异地备份，源站IP严格隐藏,只允许高防回源IP访问。
实操里可以落地：
- 域名解析全部改成CNAME,源站不出现真实IP。
- SSH改密钥登录,并限制来源IP为办公网或跳板机。
- 监控报警设置带宽阈值，超过单机承载的70%自动触发切换脚本。
- 每季度演练一次迁移流程，确保镜像、备份、解析TTL都是最新状态。
把攻击超单机上限当成一次架构体检，你会发现单点永远是最脆弱的地方，切流、迁移、上高防，每一步都是在把单点改成多点。
Q&A
Q1：服务器被攻击超过单机防御上限怎么办？
先判断带宽、连接数是否打满，然后在云控制台开启基础防护，同时在系统里做临时限速，紧接着修改域名解析，把流量切到高防IP或备用服务器,不要在原机上做无意义的拉黑操作。
Q2：高防IP和CDN哪个防攻击效果好？
没有绝对答案，看业务形态，网站和静态资源用CDN更划算，游戏、APP和实时API用高防IP更直接，两者叠加是多数生产环境的最终形态，先用CDN挡一层,再用高防IP兜底回源。
Q3：被攻击了没有高防怎么应急迁移到云服务器？
用原服务器快照创建镜像，开一台新地域实例恢复，再改解析切过去，利用云平台的基础防护先顶着，切走后原IP黑洞不影响新IP，新IP不要直接暴露给公网，必须套CDN或高防IP，整个过程最快可以控制在10到20分钟内,前提是镜像和解析TTL提前准备好。