选防护服务时，真正决定效果的不是销售口中的防御峰值，而是流量怎么调度、清洗怎么核验、源站怎么隐藏、价格怎么算这四个技术细节。 把这几个问题问透，服务商的真实水平就能摸清。
问清楚流量调度和转发模式
高防IP、CDN、云WAF的链路差异
防护服务把攻击流量引向清洗节点的技术路径完全不同,这直接决定了你的业务延迟和稳定性。
- 高防IP：通过DNS解析或BGP路由把流量转到高防机房，清洗后再把干净流量回源到你的服务器。
- CDN防护：基于域名CNAME接入，静态内容分发到边缘节点，源站压力天然变小。
- 云WAF：以反向代理模式串在业务链路里，对HTTP/HTTPS请求做应用层过滤。
你需要追问三个问题：回源走公网还是专线？回源IP是固定还是动态？源站能否只放行防护节点的IP？ 如果对方回答“源站必须对全网开放”，说明它的节点架构存在源站暴露风险，直接淘汰。
转发模式决定透明度和延迟
- 透明代理模式：用户真实IP能透传到源站，适合依赖IP白名单的业务，但清洗节点需要解析更多协议字段。
- NAT模式：源站看到的是节点IP，业务拿不到客户端真实IP，日志分析会受影响。
- 延迟表现：首包延迟增加多少？长连接是否额外开销？TCP连接是否复用？拿这些指标和你的业务容忍度对照。
清洗能力怎么核验
别只看防御峰值，要看干净流量吞吐量
销售报的几百G防御峰值,只是入口带宽，真正影响业务的是清洗后能回源多少有效流量，你问以下三个数值，对方含糊就说明底气不足：
- 节点总带宽和清洗后回源带宽上限各是多少？
- 业务瞬间流量超过阈值时,丢包还是限速？
- 清洗设备支持的并发连接数上限是多少？连接数打满后新连接是否被拒绝？
行业共识认为,衡量防护能力要同时看“攻击流量清洗量”和“正常业务承载量”两个指标，二者经常被混着宣传，自己动手验证最简单：业务低峰期对源站做一次压测，记录回源带宽和延迟；防护开启后跑同样压测，对比两个数据。
多数情况下，丢包和延迟飙升发生在回源链路，而不是清洗节点入口。
攻击响应时间怎么保证
从攻击开始到流量切换至清洗节点,中间需要多久？自动切换还是人工介入？SLA里找三个数字：攻击探测时间、调度生效时间、清洗恢复时间，三者相加就是你的业务中断窗口，如果服务商说“秒级切换”，让他在合同里写明“秒级”的定义是几秒。
CC攻击防护是另一套逻辑
流量型DDoS和CC攻击的防护原理完全不同,你要确认：
- 是否支持指纹识别、频率限制、验证码挑战？
- 默认触发阈值能不能自行调整？
- 误杀正常用户后,封禁多久自动解除？
源站IP暴露是最大的风险
问清回源方式和源站保护机制
源站IP一旦暴露,攻击者绕过防护节点直接打源站，再高的防御峰值都失效，以下渠道会把源站IP泄露出去：
- 历史DNS解析记录
- SSL证书透明度日志
- 邮件头信息
- 子域名爆破
你要确认服务商是否支持源站IP白名单、是否限制只允许回源IP访问源站，如果源站IP已经泄露，服务商能否协助更换源站IP并给出迁移方案这个问题很多低价套餐做不到。
实际操作验证源站隐藏效果
签订合同前自己测一遍：命令行输入dig命令查看域名解析结果，确认CNAME指向防护节点而非源站IP；再用traceroute跟踪数据包路径，看是否经过清洗机房，同时搜一下自己域名在证书透明度日志里的历史记录，查有没有暴露过源站IP，这些步骤成本极低，但能筛选掉相当一部分配置粗糙的服务商。
DDoS高防和云WAF哪个先配置
两者的防护层级不同,没有绝对的先后顺序，取决于你的业务主要风险在哪层。
- 攻击主要是SYN Flood、UDP反射放大等流量型DDoS，高防必须前置。
- 攻击主要来自CC攻击、Web漏洞利用等应用层威胁，WAF更贴近业务。
-
实际部署中串联使用最常见：流量先过高防清洗，再进WAF过滤Web请求。
你需要问服务商一个问题：你的高防节点上是否内置虚拟补丁或基础WAF能力？还是需要单独购买WAF做DNS CNAME串接？ 这个答案直接决定你的接入复杂度和额外成本。
高防IP和CDN防护有什么区别
两者的核心差异体现在防护目标、节点数量和业务适配性，对比如下：
| 维度 | 高防IP | CDN防护 |
|---|---|---|
| 防护重点 | 流量型DDoS + 部分应用层 | 应用层CC + 大流量分散 |
| 节点分布 | 集中式高防机房 | 分布式边缘节点 |
| 动态请求 | 经高防机房全量过滤后回源 | 动态请求绕过缓存直连源站，防护作用有限 |
| 源站隐藏 | 强，源站IP不暴露 | 弱，存在回源泄露风险 |
| 适用场景 | 游戏、金融、交易系统实时性要求高 | 门户网站、内容平台静态资源占比大 |
如果业务动态接口和静态资源混在同一个域名下,CDN防护的效果会打折扣，你还要确认：动态请求占比多少？是否接受动态请求不走缓存直接回源？ 多数电商大促类业务，动态请求占比极高，盲目套CDN防护反而增加延迟和回源带宽成本。
高防IP价格一般多少钱一个月
高防IP的市场价格没有统一标准,但你可以按以下维度拆解对比，避免被总价误导。
- 保底带宽：固定购买的基础防护容量，按月计费。
- 弹性带宽：超出保底后按实际使用量计费，单价通常比保底带宽高。
- 业务QPS：CC防护是否单独按QPS收费？后付费还是预付费？
- 回源流量：清洗后的流量回源产生的带宽费用，算谁的？
对方报价单里如果只有一个总价,追问三个问题：超出保底带宽后每G单价是多少？清洗出的正常业务流量是否单独计费？回源带宽消耗包含在总价里还是另算？ 同样规格的高防IP，北京、上海机房的资源成本比贵州等西部机房高，价格差异明显，但节点距离你的源站更近，延迟更低，做过跨境电商业务的读者还要留意，海外高防节点和国内节点价格差距较大，且跨境链路稳定性需要单独测试。
本地化部署防护和云防护怎么选
本地化部署防护适合数据合规要求严格的场景,比如政务平台、金融内网、医疗系统，你要问清：
- 规则库多久更新一次？威胁情报同步走什么通道？
- 设备故障后的冗余机制是什么？主备切换多少秒内完成？
- 硬件设备和平台软件是否分开计费？维保到期后续费价格怎么计算？
云防护胜在弹性扩容,攻击流量再大也很难打满带宽，但你需要确认服务商宕机后的恢复时间，两者其实可以组合：本地设备做日常清洗，云节点做攻击峰值时的备份，平时流量走本地，超大流量时切换上云。 代价是网络拓扑复杂度上升，你需要额外评估运维团队的排查能力，业内专家指出，组合方案中三层以上链路串联时，排查问题的难度会指数级增加，小型团队慎选。
常见问答
问：防护服务的清洗能力是不是越大越好？
防御峰值大只代表节点带宽资源充足,和业务实际体验不能直接划等号，回源链路的带宽、延迟、丢包率才是影响用户体验的核心指标，用压测数据对比清洗前后的回源质量，比听销售讲峰值数字更可靠。
问：多套防护服务叠加会不会产生冲突？
高防和WAF串联、DNS分流和负载均衡叠加，都不会冲突，但两个防护节点串行时，要确认第一层节点的超时时间设置，如果第一层节点触发超时断开后，第二层节点误判源站不可用，会出现正常请求被误杀的情况，配置顺序和超时参数需要服务商给出书面建议。
问：签合同前必须确认哪几个SLA指标？
确认攻击探测时间、调度生效时间、清洗恢复时间、回源带宽保障四项指标，另外要白纸黑字写清楚攻击峰值超过套餐上限后的处理逻辑：是黑洞封禁还是弹性扩容，扩容单价多少，扩容启动是否需要人工批准。