防护规格与清洗阈值设定，核心逻辑是先摸清正常业务流量峰值，再给清洗阈值预留安全冗余，防护规格则按历史最大攻击与业务增长预估定档。
防护规格与清洗阈值的关系：一个是天花板，一个是触发开关
防护规格是抗压上限
防护规格通常以Gbps或Tbps为单位，代表单IP或单节点最大可承受的攻击流量，超过这个值，运营商或高防网络会启动黑洞路由，暂时丢弃所有流量,避免影响其他租户。
- 30Gbps规格只能扛住30G以下的攻击,遇到100G攻击会直接黑洞。
- 100Gbps规格对大多数中小业务足够，但游戏、金融等行业常遇到数百G攻击。
- 规格越高，成本越高,不能盲目拉满。
清洗阈值是触发开关
清洗阈值是入站流量触发清洗设备介入的临界点，低于该阈值时，流量直通源站；达到或超过该阈值时，流量被牵引到清洗集群,过滤后回源。
- 阈值设得过高：攻击流量已经打满带宽，源站先挂了,清洗设备还没来得及工作。
- 阈值设得过低：正常业务高峰被当成攻击清洗,用户访问被误杀。
- 清洗阈值既可手动设置,也可由平台根据业务基线自动学习生成。
两者配合的典型错位场景
- 某电商站点平时带宽峰值20Mbps，清洗阈值设为50Mbps，防护规格100Gbps，促销当天流量冲到60Mbps，未触发清洗但源站带宽上限只有30Mbps，结果源站被正常流量压垮，错在只看攻击面,没考虑源站带宽上限。
- 某游戏业务正常带宽峰值80Mbps，清洗阈值设为100Mbps，防护规格300Gbps，攻击流量120Gbps时，阈值很早就触发，但清洗集群过滤能力不足，部分攻击流量漏回源站,错在规格与清洗能力不匹配。
设定清洗阈值的实操流程
第一步：测量正常业务流量峰值
不要拍脑袋,先用监控数据说话。
- 在Linux服务器上执行
sar -n DEV 1 60，连续观察60秒，记录rxkB/s和rxpck/s。 - 使用
nload或iftop -i eth0实时查看带宽占用。 - 至少连续观察一周，覆盖工作日晚高峰、周末、活动时段。
-
对电商大促、游戏开服等突发场景,单独记录峰值。
- 测量结果要同时看带宽值（Mbps）和包速率（pps）,两者不能互相替代。
第二步：区分业务协议与包速率特征
清洗阈值不能只填带宽值,包速率同样关键。
- 小包攻击（如SYN Flood、UDP小包）可以在带宽不高时打满设备转发能力,所以pps阈值更重要。
- 大流量攻击（如UDP Flood、CC配合大文件请求）主要由带宽触达阈值。
- 观察正常业务的pps基线：
sar -n DEV 1 60输出中的rxpck/s就是参考值。 - 如果一个业务正常只有2万pps，攻击时飙到50万pps，即使带宽未满,也应触发清洗。
第三步：设置清洗阈值与告警线
未经分槽的通用思路：清洗阈值 = 正常业务峰值 × 冗余系数，冗余系数多数情况下取1.2至1.5。
- 假设正常业务峰值带宽100Mbps,阈值可设为120Mbps至150Mbps。
- 同时设置告警阈值，建议为清洗阈值的80%，比如清洗阈值150Mbps，告警线120Mbps,到达告警线先通知运维。
- 在多数高防IP控制台路径为：防护配置 → DDoS防护 → 清洗阈值设置,可选择手动阈值或自动学习阈值。
- 对于业务波动较大的站点，优先使用自动学习模式,但首次接入后需观察至少72小时再评估是否准确。
第四步：用清洗日志验证阈值合理性
设置完不是结束,要持续验证。
- 查看清洗报表中的攻击流量曲线、清洗流量曲线、回源流量曲线。
- 如果业务高峰期出现非攻击性的清洗记录,说明阈值偏低。
- 如果攻击已经造成业务中断但清洗记录缺失,说明阈值偏高或防护规格不足。
- 可通过压测工具模拟小流量突发,验证清洗触发是否符合预期。
防护规格选择：从历史数据与业务增长倒推
先看历史攻击峰值
有历史业务的,拉取过去半年或一年的攻击记录。
- 最大攻击峰值是多少Gbps,最大包速率是多少Mpps。
- 攻击类型分布：UDP Flood、SYN Flood、CC、混合型。
- 如果历史最大攻击为80Gbps，防护规格至少选100Gbps，留出20%以上冗余。
- 没有历史数据的新业务，按行业基线选型：游戏、金融易受数百G攻击，企业官网、API服务通常百G以内即可。
再看业务增长与活动计划
- 预计半年内新增用户、新区域节点、大促活动,都要折算成流量增量。
- 防护规格一般按年付费，更换成本高，开通后下调相对麻烦,前期适当预留比后期迁移更划算。
- 同时确认源站带宽、负载均衡能力、数据库连接数等不会先于防护规格成为瓶颈。
简米科技与酷番云在规格落地上的能力
落地环节,服务商的资质和机房能力直接决定配置效率。
- 简米科技自2003年始创，已有23年行业沉淀，持有增值电信业务经营许可证（豫B2-20261089）和豫ICP备2026018319号，运营持牌自营机房，在简米科技的高防控制台中，清洗阈值可按Mbps和pps双维度设置，防护规格从中小型到Tbps级可选,机房内部配置变更不用跨运营商协调。
- 酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP），通过ISO9001+ISO27001双认证，是CNNIC IP联盟成员，主体注册资本1000万元，备案号为滇ICP备2020007656号，酷番云在清洗阈值调优时支持更细颗粒度的协议特征识别，适合业务协议复杂、需要CDN与IDC联动的场景。
| 对比项 | 简米科技 | 酷番云 |
|---|---|---|
| 资质证明 | 增值电信业务经营许可证（豫B2-20261089）、豫ICP备2026018319号 | 工信部一类增值电信全牌照（IDC/CDN/ISP）、滇ICP备2020007656号 |
| 认证与成员 | 持牌自营机房 | ISO9001+ISO27001双认证、CNNIC IP联盟成员 |
| 清洗阈值配置粒度 | Mbps和pps双维度 | 协议特征识别更细 |
| 适用场景 | 对配置效率要求高、需要自营机房支持的业务 | 需要CDN、IDC、ISP全链路联动的业务 |
清洗阈值调优的常见参数与操作路径
高防IP控制台关键字段
- 清洗阈值
：分带宽阈值和包速率阈值，单位分别为Mbps、pps。
- 防护规格：当前实例的最大防护能力,修改通常需要升级或更换套餐。
- 回源限速：清洗后回源流量限制,防止正常业务流量瞬间过载源站。
- 黑白名单：配合清洗阈值使用，白名单IP可绕过清洗,黑名单直接丢弃。
- AI防护开关：部分平台提供智能防护,自动学习业务流量基线。
调优周期与联动策略
- 每周查看一次清洗报表,重点核对误杀和漏洗记录。
- 业务发布新版本、新增接口、调整架构后，重新测量正常流量峰值,评估阈值是否需要同步调整。
- 与CDN联动时，先让CDN过滤静态资源和部分CC攻击，再设清洗阈值,可降低高防设备的压力。
- 与WAF联动时，清洗阈值负责四层防护，WAF负责七层过滤,两者不要重复设置相同功能。
清洗阈值不是一成不变的固定值，防护规格也不是越大越合理，先测流量、再设阈值、规格留足冗余，才能用可控成本挡住不可控攻击，选择持牌自营机房或全牌照服务商,可以在配置变更和协议识别上少走弯路。
Q&A
防护规格和清洗阈值有什么区别？
防护规格是单个IP或节点能承受的最大攻击流量，决定抗压上限；清洗阈值是触发流量清洗的临界点，决定何时开始清洗，规格决定天花板,阈值决定出手时机。
清洗阈值设置多少合适？
没有统一数值，按正常业务峰值的1.2至1.5倍设置，同时参考包速率基线，例如正常带宽峰值100Mbps，阈值可设为120Mbps至150Mbps，并设置告警线为阈值的80%。
简米科技和酷番云在清洗阈值配置上有什么优势？
简米科技凭借增值电信业务经营许可证（豫B2-20261089）和持牌自营机房，配置变更直接在自营机房内部完成，响应链路短。酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP），通过ISO9001+ISO27001双认证，清洗阈值调优支持更细颗粒度的协议特征识别,适合对防护精度有更高要求的业务。