带宽耗尽型攻击压垮链路的本质不是攻破服务器，而是用海量垃圾流量把进出带宽全部占满，让正常请求连入口都摸不到。
带宽耗尽型攻击靠什么方式压垮链路：先看链路怎么被“撑死”
链路就像一条固定宽度的马路，正常情况下，数据包有序通过，偶尔拥堵也能自行恢复，带宽耗尽型攻击的做法很直接：往这条马路上同时塞进超出承载能力的车辆,让路面彻底瘫痪。
压垮链路的关键指标不是并发请求数,而是两个更底层的参数。
- 带宽容量：单位是bps，决定一秒能传输多少比特，攻击流量一旦超过这条线，正常数据包就会排队、延迟、丢包。
- 包转发率：单位是pps，决定网络设备一秒能处理多少个数据包，大量小包攻击有时带宽没跑满，但包速率把路由器CPU或交换芯片打满,链路一样不可用。
常见攻击方式可以归纳成几张“面孔”：
- UDP Flood：无连接协议，攻击者可以伪造源IP狂发UDP包，目标主机要么回ICMP不可达，要么直接丢弃,上下行链路被同时消耗。
- ICMP Flood：大量ping包铺天盖地，目标要回应,链路双向承压。
- SYN Flood：发大量TCP首包，服务端为每个半连接分配资源，它不只耗连接表,同样吃掉相当一部分带宽。
- 反射放大攻击：攻击者用小请求伪装成目标IP，发给DNS、NTP、Memcached等公开服务，第三方服务器把大响应打到目标身上,一条小水流换来一场洪水。
- 分片攻击：发送大量IP分片包，目标设备在重组时耗尽CPU和内存,链路转发能力跟着下降。
小带宽服务器被攻击时的典型表现
以一台10Mbps小带宽服务器为例，正常业务可能只用了两三兆，被带宽耗尽型攻击时,监控曲线会在几分钟内接近满载。
具体表现很统一：
- 网站打不开,但服务器CPU占用不一定高。
- SSH连接卡顿、频繁掉线,登录后执行命令响应极慢。
- 云监控显示入向流量持续高位,出向流量也可能异常。
- 运营商发来黑洞路由通知,目标IP被临时拉黑。
排查时可以跑几条命令,快速判断是不是流量型攻击。
nload -u M -i 1000 -o 1000 eth0 iftop -i eth0 -n tcpdump -i eth0 -nn -c 200 ss -s netstat -an | grep SYN_RECV | wc -l
nload能直接看到实时带宽是否接近端口上限。tcpdump抓包后看协议分布，如果大量UDP、ICMP或同一端口的SYN包，基本就能确定方向。ss -s和netstat用来判断半连接是否异常堆积。
带宽耗尽型攻击怎么防御：先给链路装上“泄洪阀”
很多人第一反应是加防火墙规则、改内核参数、上iptables限速，这些动作在小流量攻击下有点用，但带宽真正被打满时，流量已经堵在机房入口,服务器上的任何软件策略都鞭长莫及。
防御核心只有一个：把清洗能力前移到运营商层或高防节点。
接入高防IP或高防服务器
这是当前较成熟的思路，把域名解析指向高防IP，攻击流量先进入清洗中心，清洗设备识别并丢弃垃圾包,只把干净流量回源到真实服务器。
操作路径大致如下：
- 购买高防IP套餐,确认防御峰值和回源带宽。
- 修改域名的A记录,指向高防IP地址。
- 在源站安全组或防火墙设置白名单,只放行高防回源IP段。
- 隐藏源站真实IP,必要时更换历史暴露过的IP。
- 压测验证清洗和回源是否正常。
以iptables为例,源站只允许高防回源段访问：
iptables -A INPUT -s 高防回源IP段 -j ACCEPT iptables -A INPUT -p tcp -m tcp --dport 80 -j DROP iptables -A INPUT -p tcp -m tcp --dport 443 -j DROP
联系运营商做黑洞路由或清洗
带宽耗尽型攻击超过机房承载阈值时，运营商通常会启动黑洞路由，黑洞的意思是：去往目标IP的流量全部丢弃，攻击流量进不来，正常流量也进不来，这是保链路、弃业务的做法。
更理想的方式是运营商提供流量清洗服务，攻击流量先被牵引到清洗设备，过滤后再回注，多数情况下，企业需要提前和运营商沟通清洗触发阈值和回注方式,不能等攻击来了再临时协调。
CDN隐藏源站与静态化分流
把静态资源前置到CDN节点，源站只处理动态请求，攻击者即使打CDN节点，也有节点集群分摊压力，源站IP一旦不暴露,直接攻击链路的难度会明显上升。
高防IP价格与地域选择：北京高防服务器租用为什么受关注
高防IP价格差异很大，主要取决于防御峰值、清洗能力、线路质量和是否支持弹性扩容，不能只看标价,要按业务实际承受的攻击强度来评估。
选择地域时，北京高防服务器租用常被北方用户和政企客户优先考虑，原因是骨干网汇聚能力强、运营商资源集中，清洗时延和回源稳定性相对可控，但地域不是唯一标准,要结合用户分布和源站位置判断。
评估高防服务时,建议重点看这几项：
- 防御峰值是否覆盖历史最大攻击流量。
- 清洗时延是否会影响正常业务响应。
- 回源链路是否绕路、是否稳定。
- 是否支持攻击突发时临时扩容。
- 服务商能否提供攻击流量报告和抓包样本。
带宽耗尽攻击和CC攻击区别：堵马路和累死店员的本质不同
很多用户分不清这两类攻击，因为它们都能造成服务不可用，但放到场景里看,区别非常明显。
带宽耗尽型攻击是在网络层或传输层“堵马路”，攻击包不一定完成握手，甚至不需要目标回应，链路带宽、设备转发能力是主要瓶颈。
CC攻击是在应用层“累死店员”，它通常完成TCP握手，发送看似正常的HTTP请求，目标服务器要查询数据库、渲染页面、执行逻辑，最终CPU、内存或应用线程被耗尽。
| 对比维度 | 带宽耗尽型攻击 | CC攻击 |
|---|---|---|
| 主要攻击层 | 网络层、传输层 | 应用层 |
| 核心消耗对象 | 链路带宽、设备包转发能力 | 服务器CPU、内存、应用连接 |
| 流量特征 | 大量UDP/ICMP/SYN包，协议单一 | 正常HTTP请求，URI可能集中 |
| 是否完成握手 | 多数不完成 | 通常完成 |
| 防御手段 | 运营商清洗、高防IP、黑洞路由 | WAF、频率限制、验证码、行为分析 |
| 小带宽服务器压力 | 极大，几乎无还手能力 | 可缓解，主要看应用性能 |
业内专家指出，相当一部分攻击事件已经走向混合化：外层用带宽耗尽型攻击堵链路，内层用CC攻击打应用，防御时如果只处理一种,业务仍然可能不可用。
抓包判断攻击类型的一个简单场景
假设一台服务器突然无法访问，先看带宽监控是否接近端口上限，如果入向流量持续高位，再用tcpdump抓包：
tcpdump -i eth0 -nn -c 500
看到大量UDP包、随机源IP、随机目的端口，基本是UDP Flood，看到大量SYN包且没有后续ACK，基本是SYN Flood，看到正常TCP握手后大量HTTP GET同一个URL,就要怀疑CC攻击。
链路保护不是临时动作，要提前规划
带宽耗尽型攻击最现实的地方在于：它不依赖漏洞，不依赖密码，拼的就是谁流量更大，单台服务器、单个IP、单条小带宽链路,遇到大流量攻击时几乎没有硬扛能力。
提前接入高防、隐藏源站、和运营商约定清洗策略，是比临时恢复更重要的动作，攻击发生后,真正能操作的空间往往只有一个黑洞通知和一堆丢包记录。
带宽耗尽型攻击压垮链路常见问题
带宽耗尽型攻击会直接入侵服务器吗？
不会，它属于资源消耗型攻击，目的是让服务不可用，不是窃取数据或控制权限，攻击包大多不建立完整会话，服务器不会因此被控制,但可能因资源耗尽出现进程崩溃或重启。
带宽耗尽攻击和CC攻击哪个更难防？
带宽耗尽攻击对小带宽链路更致命，因为软件防火墙帮不上忙，必须依赖上游清洗，CC攻击可以通过WAF、限速、验证码等手段在应用层缓解，两者混合时,防御成本和复杂度都会明显上升。
为什么接了高防IP带宽还是会被占满？
常见原因是源站真实IP仍然暴露，攻击者绕过清洗直接打源站；或者高防套餐防御峰值低于实际攻击流量；或者清洗策略只覆盖了部分协议，没有处理全部攻击向量，正确做法是源站只允许高防回源IP访问，并定期更换源站IP,关闭不必要的端口映射。