硬防设备与云清洗的正确采购决策不是二选一，而是让本地硬防扛住小流量和CC攻击，将超过本地带宽的大流量DDoS交给云清洗中心稀释，预算按峰值攻击流量和业务中断损失倒推。
硬防设备与云清洗哪个好？先拆解两者的分工边界
不少运维在采购时纠结硬防设备与云清洗哪个好,其实这个问题本身就带着二选一的误区，硬防设备安装在自家机房出口，对所有入站包进行线速过滤，优点是延迟几乎为零、策略完全可控，云清洗服务通过BGP通告把攻击流量牵引到清洗中心，清洗完再把干净流量回注到源站，优点是能处理远远超过本地带宽的流量洪峰。
- 硬防适合：应用层CC攻击、慢速连接耗尽、小流量SYN Flood、需要本地即时阻断的场景。
- 云清洗适合：超过1Gbps的大流量DDoS、UDP反射放大攻击、混合向量攻击、本地带宽被打满的场景。
行业共识认为,DDoS攻击流量超过本地带宽时，再强的硬件防火墙也会被管道拥塞打垮，所以云清洗解决的是“带宽被塞死”的问题，硬防解决的是“应用层被攻击”的问题。
什么时候只需要硬防或只需要云清洗
判断路径可以这样做：
- 调出过去三个月的流量监控峰值和攻击日志。
- 如果最大攻击流量长期低于本地出口带宽的七成,且攻击类型以CC为主，可以先只采购硬防设备。
- 如果攻击流量频繁摸到本地带宽上限,或者出现过UDP反射、DNS放大等大流量攻击，就必须把云清洗纳入采购计划。
采购前先算清三条线：业务线、攻击线、预算线
硬防设备与云清洗配合采购最怕拍脑袋报价,先把三条线列清楚，预算分配才有依据。
资产测绘与攻击面清单怎么列
在跟供应商谈价格之前,先花半天时间做资产测绘，操作路径如下：
- 汇总所有公网IP、域名、开放端口和业务协议，可以用
nmap -sV -p- --min-rate 5000 <目标IP>快速扫描。 - 统计历史攻击日志里的峰值带宽、包速率、攻击类型。
- 评估业务中断一分钟的直接损失,比如交易失败金额、用户流失成本。
- 把每个公网资产的防护优先级排出来,核心支付接口和登录接口优先级最高。
这一步做完,就会发现有些端口根本不需要暴露公网，直接收进内网或加白名单，攻击面比想象中少。
预算倒推公式：买硬防还是买云清洗额度
- 本地带宽100Mbps以下,攻击峰值很少超过500Mbps：优先买千兆硬防设备。
- 本地带宽1Gbps,攻击峰值动辄3Gbps以上：硬防只处理应用层，大流量预算全部投给云清洗。
- 业务中断损失远高于设备折旧：做双线冗余，硬防和云清洗按年付费并行采购。
硬防设备采购关键参数与价格区间
硬防设备价格一般多少钱？先看规格再看冗余
硬防设备价格一般多少钱,取决于吞吐量、小包转发率和防护模块授权，目前市场常见报价区间如下：
| 规格 | 适用带宽 | 防护能力 | 常见价格区间 |
|---|---|---|---|
| 入门级 | 100Mbps | SYN/UDP/CC基础防护 | 数千到一万余元 |
| 中端 | 1Gbps | 小包线速+特征库更新 | 数万到十余万元 |
| 高端集群 | 10Gbps以上 | 多向量+旁路Bypass | 几十万到上百万元 |
采购时要重点看三个参数：小包转发率、并发连接数、新建连接速率，很多报价单只标大包吞吐，实际攻击大多是64字节小包，小包转发率不够，标称1Gbps也会被SYN Flood打穿，业内专家指出，采购决策不能只看设备吞吐标称值，还要看小包转发率和会话新建速率。
采购清单里容易漏掉的三样东西
- Bypass网卡：设备死机或断电时自动变成物理直通，避免业务全断。
- 特征库更新授权：DDoS攻击特征库每年都要续费，否则新型混合攻击拦不住。
- 备件电源和风扇
：高端硬防设备故障集中在这两块，价格不高但缺货时很要命。
云清洗服务怎么选及配合部署步骤
云清洗和硬件防火墙配合方案怎么做
云清洗和硬件防火墙配合方案的核心是“自动牵引、清洗回注、白名单放行”，典型部署路径如下：
- 向运营商或云清洗服务商确认BGP牵引能力,一般需要有自己的AS号或托管IP段。
- 设置引流阈值,比如本地出口带宽利用率超过80%时自动触发清洗。
- 配置回注路由,使用GRE隧道或VXLAN把清洗后流量回源到硬防设备。
- 在硬防设备上放行清洗中心IP段,避免清洗后的正常流量被本地策略误杀。
- 每季度做一次攻击演练,验证牵引延迟、回注丢包率和清洗准确性。
回注隧道配置示例：
ip tunnel add gre1 mode gre remote <清洗中心IP> local <本地出口IP> ttl 255 ip link set gre1 up ip addr add 192.168.255.1/30 dev gre1
云清洗计费方式怎么选
多数云清洗服务按清洗流量峰值计费,也有按防护次数包月，攻击频率高但单次峰值低，选包月；攻击频率低但峰值高，选按量付费，采购前要问清楚几个点：清洗中心节点位置、回注是否存在额外带宽费用、攻击期间是否支持7×24人工值守。
地域与机房部署对采购决策的影响
北京机房高防服务器租用和自购硬防哪个划算
地域会直接改变采购策略,北京机房高防服务器租用的带宽成本较高，机柜和电力费用也压不下来，如果业务主要在北京、对延迟敏感，可以在北京机房保留硬防设备做应用层防护，大流量清洗交给骨干网上的清洗节点，二三线城市机房带宽便宜，但清洗资源覆盖可能不足，自购硬防的性价比更高。
- 一线城市：硬防处理本地应用层攻击，云清洗选骨干节点。
- 二三线城市：优先提升本地硬防规格，云清洗作为兜底。
- 海外业务：采购时确认清洗中心是否覆盖目标用户所在区域，否则回注延迟会伤体验。
联动运维策略与自动化脚本
如何自动触发云清洗和硬防策略切换
硬防设备和云清洗如果不能自动联动,等人工发现时业务已经中断，自动化思路是：监控入向流量，超过阈值就调用云清洗API，同时调整本地硬防的限速策略。
本地硬防限速示例：
tc qdisc add dev eth0 root handle 1: htb default 30 tc class add dev eth0 parent 1: classid 1:1 htb rate 500mbit burst 15k
针对SYN Flood的iptables临时限制：
iptables -A INPUT -p tcp --syn -m limit --limit 100/s --limit-burst 200 -j ACCEPT iptables -A INPUT -p tcp --syn -j DROP
这些命令可以在触发脚本里动态下发,运维日历上要固定两件事：每月检查一次Bypass测试，每季度做一次云清洗牵引演练。
Q&A：硬防设备与云清洗配合采购常见问题
硬防设备与云清洗配合采购预算怎么做
先算业务中断一分钟的损失金额,再按攻击峰值流量分配，假如攻击峰值在1Gbps以下，硬防设备预算大概占七成；攻击峰值在3Gbps以上，云清洗预算占六到七成，把特征库更新费用和清洗回注带宽费都算进年度预算。
中小企业硬防设备采购需要注意什么
中小企业别追高端吞吐标称值,优先选带Bypass功能、支持云清洗联动的中端设备，采购前先用资产测绘缩小公网暴露面，很多攻击来源其实是未关闭的测试端口，预算有限时，可以先租用高防服务器或云清洗包年，再逐步替换为自购硬防。
云清洗按流量计费还是按次计费更合适
攻击频率高、单次峰值低，按次或包月更合适；攻击频率低、峰值高、持续时间短，按流量峰值计费更划算，多数服务商提供两种计费切换，签约时确认回注带宽是否单独收费，这是硬防设备与云清洗配合采购里容易被忽略的隐性成本。
硬防设备与云清洗的采购决策本质是风险分层：本地设备买确定性，云清洗买弹性，把预算花在攻击线和业务线的交点上，比单纯堆硬件更有效。