服务器自身能缓解小规模协议层和应用层DDoS，但带宽型大流量攻击必须靠上游清洗；企业选方案先算清攻击峰值、业务暴露面和连续性要求，再组合云高防、CDN/WAF与运营商清洗。
服务器能防御哪些DDoS攻击？先看清攻击面
说直白点,服务器不是万能盾牌，更像门口保安，内核参数、防火墙和WAF能做的是“止血”和“争取排查时间”，不是把所有DDoS都吃掉，据工信部数据，近年来针对互联网基础设施的DDoS攻击事件仍呈多发态势，攻击峰值和持续时间都有上升，服务器本地防御的上限，往往就是机房出口带宽和连接表容量。
流量型攻击：带宽被灌满时服务器自身很难扛
常见的有UDP Flood、ICMP Flood、DNS/NTP反射放大，服务器能做的动作有限：安全组只放业务端口，iptables做简单限速，关闭不必要服务，你可以用iftop -i eth0看实时流量，用ss -s看连接总量。带宽型攻击一旦超过机房出口，服务器本地策略基本失效，远程登录都会卡住，这类攻击要靠运营商近源清洗或云高防清洗中心。
协议型攻击：连接表被打爆比带宽更隐蔽
SYN Flood、ACK Flood、连接耗尽都属于这一类，服务器侧可开启SYN Cookie，调整半连接队列，限制单IP并发，示例思路是net.ipv4.tcp_syncookies=1，配合net.ipv4.tcp_max_syn_backlog和net.ipv4.tcp_fin_timeout做调优，防火墙可用connlimit模块限制并发，例如iptables -A INPUT -p tcp --syn --dport 80 -m connlimit --connlimit-above 100 -j DROP，阈值按业务调整。SYN Cookie和连接限制能缓解小规模协议攻击，但挡不住分布式多源，攻击源一多，还是要把流量引到清洗设备。
应用层攻击：看起来像真实用户的慢速消耗
CC攻击、HTTP慢速攻击、HTTPS握手消耗更难识别，服务器侧可用Nginx的limit_req_zone和limit_conn_zone限制请求频率和并发，用WAF做IP信誉、验证码和人机校验，调整client_header_timeout、client_body_timeout防慢速连接。应用层攻击拼的是业务逻辑和资源消耗，单靠服务器硬扛容易误伤正常用户，电商大促、登录接口、秒杀页尤其明显，得把WAF和CDN放在前面。
一句话总结：服务器能防的是小规模协议层、应用层和端口暴露问题；大流量、反射放大、分布式多源，必须交给上游清洗。服务器本地防御是止血带，不是手术台。
企业DDoS防御方案怎么选？按业务场景对号入座
行业共识认为,DDoS防御不是买一个单品，而是“源站隐藏+边缘防护+近源清洗+应急切换”的组合，选型前先做三件事：梳理公网IP和域名、查历史攻击峰值、明确业务能停多久，下面按场景拆。
电商大促DDoS防护方案：别等流量冲高才想起清洗
大促场景的特点是攻击窗口集中、业务不能停、误杀成本高，实操路径可以这样走：
- 大促前7天接入CDN或WAF,把源站IP藏到回源层后面。
- 在云控制台进入DDoS高防,添加防护域名，配置回源IP和清洗阈值。
- 把DNS解析切到高防CNAME,TTL调短，方便异常时快速回切。
- 准备源站IP切换脚本和联系人清单,大促期间盯QPS、连接数、回源带宽和错误率。
- 用
dig +short 你的域名确认CNAME是否生效，用curl -I检查响应头。
大促防护的核心不是清洗能力纸面参数，而是切换速度和误杀控制。 清洗阈值设得太低，正常促销流量会被拦；设得太高，攻击来了又清洗不及时，建议提前压测，把业务基线跑出来。
云清洗和本地抗D哪个好？中小企业和大型企业答案不同
业内专家指出,本地抗D设备适合做日常策略和快速止血，云清洗适合做超大流量兜底，两者不是替代关系，对比看下表：
| 方案类型 | 防护上限 | 适合攻击 | 部署周期 | 成本特点 | 运维负担 |
|---|---|---|---|---|---|
| 本地硬件抗D | 受设备性能和出口带宽限制 | 中小规模流量、协议层 | 采购和上架周期较长 | 一次性投入高 | 需要专人维护策略 |
| 云清洗/高防IP | 依赖清洗中心容量，弹性较好 | 大流量、反射放大 | 小时级到天级 | 按保底带宽、清洗能力计费 | 控制台配置为主 |
| CDN/WAF融合 | 侧重Web应用层 | CC、慢速攻击、Web漏洞 | 较快 | 按流量或套餐计费 | 需要配置缓存和规则 |
| 运营商近源清洗 | 适合超大流量 | 带宽型、分布式攻击 | 需运营商协同 | 合同和线路相关 | 依赖运营商响应 |
中小企业的Web业务,优先考虑CDN+WAF+高防IP，别一上来就买硬件，大型企业、金融和强合规场景，可以本地设备做策略兜底，云清洗做弹性扩容。选方案先看攻击峰值和业务连续性要求，再看价格。
DDoS高防价格多少钱一年？先算清带宽、IP和SLA
DDoS高防价格多少钱一年,没有统一答案，报价通常受保底带宽、清洗能力、防护IP数量、BGP线路、IPv6支持、CC防护和SLA影响，同样标称清洗能力，BGP多线和普通线路、是否含专家服务，价格差异会很大，询价时别只问“一年多少钱”，把这几项列清楚：
- 业务正常带宽峰值和历史攻击峰值。
- 需要防护的域名、IP数量，是否含非Web业务。
- 是否需要CC防护、API防护和IPv6。
- 清洗触发方式、回源方式、切换时长。
- 告警渠道、响应时效和SLA条款。
价格只是结果，保底带宽和清洗触发策略才是成本大头。 有的方案报价低，但清洗阈值高、回源线路差，真被打时切换慢，省下的钱会变成业务损失。
北京DDoS高防服务商怎么选？看清洗节点和响应时效
北京企业选服务商,重点看清洗节点覆盖、运营商互联质量和本地支持，客户集中在北方的，优先看京津冀节点和BGP多线接入；业务全国分布的，再看全国清洗节点调度能力，还要确认备案支持、回源线路、是否支持非HTTP业务，以及全天候响应。地域近不代表清洗快，关键看节点容量和调度策略。 可以要求服务商提供清洗触发测试和切换演练，不要只看宣传页。
服务器本地防御是止血带,上游清洗才是手术台，企业选方案别只盯着报价，先把攻击峰值、业务连续性和切换演练这三件事落到纸面。
服务器DDoS防御与方案选择Q&A
服务器装了防火墙就能防DDoS吗？
不能,防火墙能限制端口、连接数和部分异常包，适合小规模协议层和应用层缓解，带宽型攻击打满出口后，服务器本地规则很难生效，防火墙是必要项，不是DDoS防御的全部。
云清洗和高防IP是一回事吗？
不完全一样,云清洗强调把流量牵引到清洗中心再回源，高防IP是常见的承载形式，实际选型时看清洗容量、回源线路、触发方式和SLA，Web业务常把CDN/WAF和高防IP组合使用，非Web业务更依赖高防IP和近源清洗。
企业选DDoS防御方案时最容易忽略什么？
最容易忽略业务连续性SLA和切换演练,真正被打时，能否在几分钟内完成流量切换，比纸面清洗能力更关键。