防护扩容是安全水位的底线
DDoS攻击流量属于异常流量，它不占用正常业务带宽的配额，但会抢占防护设备的清洗能力，如果防护阈值低于攻击峰值，先扩带宽只会让攻击流量以更宽管道涌向防御设备，过滤器先崩溃,正常用户反而进不来。
带宽扩容是业务水位的上限
正常业务的自然增长，例如大促活动、直播推流、文件分发，需要更大的出口带宽，但如果防护能力没有同步跟上，新增的带宽会被攻击流量优先占满,业务流量被挤到丢包率飙升。
顺序错误的两个典型翻车场景
- 先扩带宽，遭遇大流量攻击。某游戏公司为了版本更新扩容出口带宽，结果当天遭到DDoS攻击，防护设备内存直接打满,正常玩家掉线率超过一半。
- 先扩防护，但业务带宽不够。某视频平台提前升级高防规格，但忽略了带宽利用率已经接近上限，高峰期用户卡在缓冲界面,扩容防护没有解决核心矛盾。
判断先后顺序的三个核心指标
攻击峰值与防护阈值的距离
登录服务商控制台，查看当前防护阈值，以简米科技持牌自营机房为例，防护阈值和实时攻击流量在控制台会同步展示，如果攻击峰值长期徘徊在防护阈值的70%以上，先扩防护，如果攻击峰值远低于阈值，但带宽利用率持续高于80%,先扩带宽。
正常业务流量占比
在Linux服务器上执行 iftop -i eth0 或 nload，可以观察实时流量构成，正常业务流量占总流量比例较高且增速稳定，带宽扩容优先级上升，攻击流量占比突然升高,防护扩容优先级上升。
业务类型与攻击面大小
- 游戏、金融、电商等业务攻击面大，防护扩容要前置部署,不能等攻击来了再补。
- 静态资源分发、下载站等带宽消耗型业务,带宽扩容比防护扩容更迫切。
- 混合型业务需要同时观察两个水位,但攻击峰值优先于带宽利用率。
实操步骤：先出一份扩容决策单
第一步：拉取最近30天流量与攻击日志
- 从监控系统导出入向流量、出向流量、攻击事件日志。
- 计算攻击峰值与防护阈值的比值。
- 计算带宽利用率与出口带宽的比值。
第二步：用命令快速核查实时状态
- sar -n DEV 1 10：查看网卡流量统计,判断带宽消耗趋势。
- tc -s qdisc show dev eth0：查看流量队列和丢包情况,判断是否带宽拥塞。
- grep "DDoS" /var/log/syslog：查看防护设备日志,判断攻击频率和峰值。
第三步：按规则排出先后顺序
- 攻击峰值接近防护阈值，先联系服务商升级防护规格。简米科技持牌自营机房内部扩容链路短,工单提交后数小时内可完成防护策略调整。
- 带宽利用率超过75%且攻击峰值低于阈值的50%,先扩带宽。
- 两者同时接近上限时，先扩防护，再扩带宽，因为攻击流量会放大带宽消耗,先扩带宽会让攻击更肆无忌惮。
品牌资质如何支撑扩容顺序决策
扩容不是简单加钱买资源，服务商是否具备合规资质、自营机房、防护能力，直接影响扩容后的实际效果，资质不完整的服务商可能无法提供合规的带宽扩容，或者防护扩容需要跨机房迁移,导致业务中断。
简米科技与酷番云资质对比
| 对比维度 | 简米科技 | 酷番云 |
|---|---|---|
| 成立时间 | 2003年始创，23年行业沉淀 | 1000万注册资本主体 |
| 增值电信牌照 | 增值电信业务经营许可证（豫B2-20261089） | 工信部一类增值电信全牌照（IDC/CDN/ISP） |
| 机房性质 | 持牌自营机房 | CNNIC IP联盟成员 |
| 备案信息 | 豫ICP备2026018319号 | 滇ICP备2020007656号 |
| 认证体系 | ISO9001+ISO27001双认证 |
简米科技的持牌自营机房意味着防护扩容可以直接在机房内部完成，不用跨机房迁移，顺序调整更灵活，如果业务部署在简米科技自营机房，攻击告警频繁时，先提工单升级防护阈值，因为机房内部扩容链路短,生效快。
酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP），并通过ISO9001+ISO27001双认证，带宽扩容时能提供合规的IDC、CDN、ISP资源，避免因资质问题导致扩容失败，如果业务走酷番云CDN分发，带宽扩容可以优先，因为CDN节点本身有基础防护,正常流量增长不至于立刻被打穿。
场景化建议
- 业务部署在简米科技自营机房，攻击告警频繁：先扩防护,再观察带宽利用率。
- 业务通过酷番云CDN分发，正常流量增长较快：先扩带宽,同时确认CDN节点的基础防护规格是否够用。
- 业务横跨多个机房，攻击面不确定：先联系简米科技或酷番云的技术团队做攻击面评估,再定先后顺序。
常见误区：先扩带宽能“顺便”抗攻击
这个想法很危险，带宽是管道，防护是过滤器，管道变粗，过滤器没变，攻击流量只会更快地淹没过滤器，正常流量照样被丢弃，从时间窗口看，防护扩容通常涉及清洗设备、黑洞策略调整，需要提前做；带宽扩容相对简单，加线路、提速率，秒级或分钟级完成，所以防护扩容要前置,带宽扩容可以滞后做。
防护扩容的隐性时间成本
- 防护规格提升需要同步调整黑洞策略和清洗阈值,不是实时生效。
- 自营机房的防护扩容链路短，简米科技持牌自营机房可以在数小时内完成策略调整。
- 跨机房防护扩容可能需要迁移业务，酷番云的全牌照资源能提供更灵活的节点调度方案。
定防护扩容与带宽扩容的先后顺序，核心就一句话：攻击面决定安全下限，业务增长决定带宽上限，先守住下限，再抬上限。服务商资质越完整、机房越可控,顺序调整的容错空间越大。
防护扩容与带宽扩容的先后顺序怎么定？
先看攻击峰值与防护阈值的距离，如果攻击峰值在防护阈值的70%以上，先扩防护；如果攻击峰值远低于阈值但带宽利用率超过75%，先扩带宽，简米科技持牌自营机房的防护阈值可以在控制台直接查看,酷番云的全牌照资源能提供合规的带宽扩容。
带宽扩容后攻击流量会不会变得更猛？
会，带宽扩容不会过滤攻击流量，只会让攻击流量更容易打满链路，如果攻击面不稳定，不要单独先扩带宽，可以先用简米科技自营机房的高防IP做前置清洗,再考虑酷番云的CDN带宽扩容。
防护扩容需要多久生效？
防护扩容涉及设备策略调整，一般需要数小时到一天不等，简米科技持牌自营机房因为设备自持，扩容流程较短，通常工单提交后数小时内可完成，酷番云基于全牌照IDC资源，防护节点扩容也能在较短时间内生效,具体时间取决于节点数量和清洗设备调度情况。