先把最基础的访问控制、端口白名单、内核参数和连接数限制做起来，再根据实际攻击类型逐步加码，比一步到位买高防更适合单机硬防。
为什么单机硬防要先立门槛再迭代
单机硬防的本质是用一台服务器自身的系统、内核和软件能力去抵挡攻击，资源就这么多，CPU、内存、带宽都有限，一上来就把所有防护模块全开，往往会出现正常业务变慢、连接被误杀、内存吃紧的问题。
- 自动扫描和脚本攻击占多数情况,基础门槛能直接挡掉很大一部分。
- 攻击手法会变,提前预测不如根据日志迭代。
- 先立门槛的成本低,不依赖额外硬件或高防IP。
单机硬防和集群防护哪个好：先看你的业务阶段
这个问题没有绝对答案,单机硬防适合业务在单台服务器上跑、流量还没到需要分摊的阶段，集群防护适合多节点、高并发、需要统一接入层的场景。
| 对比项 | 单机硬防 | 集群防护 |
|---|---|---|
| 部署成本 | 低，改系统配置为主 | 高，需要多节点和调度 |
| 防御上限 | 受单机带宽和内核限制 | 横向扩展，上限更高 |
| 维护复杂度 | 低，单点操作 | 高，配置同步和策略下发 |
| 适用阶段 | 业务初期、单服游戏、小站 | 业务中期、多服架构 |
如果你的业务还在一台服务器上,先把单机门槛立起来，再考虑要不要上集群，集群不是单机的替代，而是单机扛不住后的扩展。
先把防护门槛立起来：四步可验证操作
第一步：系统层访问控制
把不需要的入口全部关掉,比任何高级防护都实在。
- SSH 改成非默认端口，禁止 root 密码登录，只用密钥登录。
- 防火墙默认拒绝所有入站,只放行业务端口，以 Ubuntu 为例：
ufw default deny incoming
ufw allow 22/tcp
ufw allow 80/tcp
ufw allow 443/tcp
ufw enable- 如果业务不需要 IPv6，直接关闭或默认拒绝 IPv6 入站。
第二步：内核与连接数限制
单机最容易被打满的是连接表,不是带宽，先把内核参数调到保守值。
- 开启 SYN Cookie，防止半连接占满队列：
sysctl -w net.ipv4.tcp_syncookies=1- 开启反向路径过滤：
sysctl -w net.ipv4.conf.all.rp_filter=1- 调低 SYN 队列和重试次数，减少等待资源：
sysctl -w net.ipv4.tcp_max_syn_backlog=2048
sysctl -w net.ipv4.tcp_synack_retries=2- 限制单 IP 新建连接数，用 iptables 的 limit 模块：
iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 20 -j REJECT第三步：应用层基础防护
如果是 Nginx 或 Apache，先把请求速率和请求体大小控制住。
- 限制单 IP 请求频率，防止简单 CC：
limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;- 关闭目录浏览,限制请求体不超过 1M。
- 对登录接口单独做更严格的频率限制,比如每分钟 3 次。
第四步：日志与自动封禁
没有日志,迭代就没有依据。
- 开启访问日志和错误日志,保留至少 7 天。
- 用 fail2ban 监控 SSH 和 Web 日志，自动封禁暴力破解和异常请求。
- 把封禁动作设置成临时封禁,10 分钟到 1 小时，避免误杀正常用户。
再慢慢迭代：根据攻击类型做针对性调整
门槛立起来后,能挡住大部分自动攻击，剩下的攻击往往集中在某一类，这时候再针对性调，比一开始就上重防护更有效。
游戏单机硬防怎么配置起步门槛
游戏单机硬防和普通网站不一样,UDP 和长连接是重灾区，起步阶段先做三件事：
- 只开放游戏端口和远程管理端口,其余 UDP 全部拒绝。
- 对游戏端口做按包速率限制,比如单个 IP 每秒包数超过阈值就丢弃。
- 如果游戏协议有固定包头,可以在网关上做简单协议校验，过滤掉明显伪造包。
业内专家指出,游戏攻击的相当一部分来自 UDP 反射和空连接，先把非必要 UDP 关掉，防御压力会明显下降。
单机硬防能防多少G流量才够用
很多人在问单机硬防能防多少G流量,其实这个问法本身就容易跑偏，单机硬防的上限由三个因素决定：服务器网卡、机柜带宽、系统处理能力，多数情况下，单机在 10G 到 20G 左右的实际攻击流量下还能勉强处理，超过这个量级，内核和网卡驱动本身就会成为瓶颈。
- 先看正常业务带宽,攻击峰值是正常带宽的几倍。
- 再看攻击类型,UDP 反射可以用丢包策略缓解，SYN Flood 可以靠 SYN Cookie 和连接限制缓解。
- 如果攻击峰值长期超过单机处理能力,就不该继续在单机上堆配置，而应该考虑运营商清洗或高防节点。
行业共识认为,单机硬防更适合抵挡短时间、中低强度的攻击，长期大流量攻击本质上需要资源冗余。
北京单机硬防服务器价格与基础防御怎么选
北京单机硬防服务器价格受带宽、防御值和线路影响，没有统一标准，买之前先把基础防御做好，往往能把实际需要的防御值降下来。
- 先选有基础 DDoS 清洗能力的机房，北京地域线路质量比防御值更影响业务体验。
- 不要一上来就买最大防御包,先买基础档，观察攻击类型再升级。
- 算一笔账：系统层和内核层配置几乎不增加成本，应用层限速也不花钱，这些做完了再评估要不要加钱上高防。
近年来,北京地区很多机房的基础防御已经包含在托管费用里，单机硬防的实际现金成本主要花在带宽和额外防御值上。
先把防护门槛立起来,再慢慢迭代，适合单机硬防的核心原因是：单机资源有限，基础配置成本低、见效快，能为后续调优争取时间和日志，真正有效的单机硬防不是一次买断高防，而是用迭代把每一条规则调到位。
单机硬防常见问题解答
问：单机硬防和集群防护哪个好？
答：业务在单服务器阶段，先做单机硬防门槛更合适；等单机吞吐和防御都到顶，再上集群，两者不是替代关系，是先后关系。
问：单机硬防能防多少G流量才够用？
答：多数单机场景下，把访问控制、SYN Cookie、连接数限制和 UDP 丢弃策略做齐后，抵挡短时间中低强度攻击是够用的，超过机柜带宽或网卡处理上限的攻击，单机硬防无论怎么调都难以稳定处理。
问：北京单机硬防服务器价格贵吗？
答：基础系统加固和软件限速没有额外成本，价格差异主要来自带宽、防御值、线路质量，先做免费门槛，再按需购买防御档位，通常比直接买高防套餐更经济。