读懂主机的 DDoS 防护

DDoS 攻击的三个层级

• L3（网络层）：针对网络的攻击（ICMP 洪水、IP 分片）。流量极大（可达 Tbps）
• L4（传输层）：针对 TCP/UDP 的攻击（SYN 洪水、UDP 洪水）。会把连接表撑满
• L7（应用层）：针对 HTTP/HTTPS 的攻击（slowloris、HTTP 洪水）。模仿正常流量，更难过滤

2026 年常见的 DDoS 攻击类型

除了按 OSI 层级划分，DDoS 攻击还按手法分类。了解主要几种，就能明白一套靠谱的防护到底要拦住什么。

• SYN 洪水：攻击者大量发送 TCP SYN 包却从不完成三次握手，把服务器的连接表撑满。缓解办法：SYN cookies、按 IP 限速。
• UDP 洪水：向随机端口大量发送 UDP 包。服务器忙着回「端口不可达」，把带宽耗尽。缓解办法：UDP 限速、把闲置端口丢进黑洞。
• DNS / NTP / Memcached 放大：攻击者用伪造的源 IP（也就是您的 IP）去查询 DNS、NTP 或 Memcached 服务器，对方回给您的数据比请求大 50 到 50000 倍。已观测到的纪录是通过 Memcached 打出 2.5 Tbps。
• HTTP 洪水（L7）：成千上万的机器人发出看似正常的 GET/POST 请求，但都打在开销大的地址上（搜索、购物车、登录）。缓解办法：JavaScript 挑战、验证码、机器人指纹识别。
• Slowloris：开出成千上万条 HTTP 连接，几乎不发数据、极慢地吊着。不需要多大带宽就能耗尽 Apache/Nginx 的工作进程。缓解办法：把超时设得很短、上 mod_qos。
• 勒索式 DDoS（RDoS）：以「交 X 个比特币，否则我们打 Y Gbps」相要挟。2026 年已有多个团伙（REvil、Lapsus$）重拾这一套。

By-Hoster 的 DDoS 防护如何运作

我们在上游的清洗设施（容量达数 Tbps）会实时分析流量，在恶意数据包抵达您的服务器之前将其拦下。L3/L4 自动过滤，L7 应用层规则可自行定制。

• 上游清洗（BGP scrubbing）：发往我们 IP 段的流量，会先经过清洗节点，然后才进入我们位于新阿基坦大区的 DC-FR_NA(01) 机房。恶意数据包在源头就被剔除。
• 自动检测：基线算法（先学习正常流量）＋已知特征（各类 DDoS 套件）＋启发式判断（每个源 IP 每秒的包数）。几秒之内即可启动清洗。
• L3/L4 过滤：全自动处理，对客户透明。可拦下 SYN 洪水、UDP 洪水、反射放大（DNS、NTP、Memcached、SSDP）和滥用分片。
• L7 清洗：应用层规则可配置（按地址限速、JS 挑战、按 user-agent 拦截、按地区拦截）。客户可在面板中调整，也可以找技术支持处理。
• 服务不中断：正常访客毫无察觉（清洗期间最多多出 5 到 20 毫秒延迟）。您的网站照常可访问。

DDoS 攻击正在发生时该怎么办？

即便上游已有靠谱的防护，您这边做几件事也能更抗打。以下是发现攻击后（延迟异常、503 报错、监控告警）应逐项落实的清单：

• 先确认是不是攻击：tail -f /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | head -20 会列出访问量最大的 IP。如果看到 50 个以上的境外 IP，每个每秒都有几百次请求，那多半就是攻击。
• 立刻联系主机商客服：靠谱的客服能在几分钟内启动加强清洗。请把被攻击的 IP、日志和起始时间一并给他们。
• 打开「受攻击」模式：Cloudflare 有一个 JS Challenge 模式，会让所有访客先过一道浏览器验证。能拦下 99 % 的机器人，真人访问体验会略受影响。
• 在应用层做限速：在 Nginx 中加入 limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;，再在 location 里加 limit_req zone=one burst=20;。
• 临时按地区封禁：如果攻击主要来自某个您本来就没有正常流量的国家，就用 iptables 加 GeoIP 把它挡掉，或者在 Cloudflare 里点几下搞定。
• 留档以备后续：把日志、IP 和攻击特征都保存下来。一次 DDoS 之后往往还有后续尝试，这些日志能帮您把清洗规则调得更准。

关于 DDoS 防护的误区

• 「我的站点太小，不会被攻击」：不对。随手发起的攻击是冲着整段 IP 去的，只要邻近的 IP 挨打，您就会被殃及。勒索式 DDoS 更是随机挑中小企业，索要一笔「不算多」的赎金。
• 「免费版 Cloudflare 就够了」：Cloudflare 只保护经由其网络的 HTTP/HTTPS 流量。一旦有人拿到您的源站 IP（旧的 DNS 记录、SSL 证书、邮件头都可能泄露），就能绕过 Cloudflare 直接打。主机商这一层的防护仍然不可或缺。
• 「DDoS 防护会拖慢我的网站」：平时（没有攻击时）做得好的防护带来的延迟不到 1 毫秒；清洗进行时也就 5 到 20 毫秒。跟一次没被拦下、直接让站点瘫掉的攻击相比，这点根本察觉不到。
• 「在 VPS 上装个防火墙就能挡 DDoS」：对付流量型攻击（L3/L4）时这是错的。如果 100 Gbps 的攻击流量已经把您 1 Gbps 的链路灌满，防火墙毫无用处——流量早就到了您的网卡上。过滤必须放在上游。不过对付有针对性的 L7 攻击，防火墙依然有用。
• 「上了 DDoS 防护，就不需要 fail2ban 了」：不对。DDoS 防护针对的是分布式的大流量，fail2ban 针对的是有针对性的暴力破解和扫描。两者互补，不能互相替代。

怎样判断一家主机商宣称的防护是否靠谱？

不少主机商只写「含 DDoS 防护」，别的一概不提。以下几条可以帮您分辨真防护和空口号：

• 公开的清洗容量：靠谱的防护会写明容量（Gbps 还是 Tbps）。如果文档含糊其辞，就直接问客服：单个 IP 能扛多少，整体又能扛多少。
• L3/L4/L7 三层：专业的防护三层全过滤。如果套餐只提「网络层过滤」而不提 L7，那您在 HTTP 洪水面前就是不设防的。
• 常开还是触发式：「常开」更好，清洗即时生效；「触发式」意味着防护启动之前会有几秒到几分钟的不可用。
• 包含还是收费选项：把 DDoS 防护另外收费是个负面信号。正经的主机商都会含在套餐里（相对于整套清洗设施，这点成本微不足道）。
• 事后的沟通：让对方给您看一份典型的事后报告。靠谱的主机商在攻击之后会提供：日期、时长、流量、攻击类型、主要来源 IP。