网站总被打崩？聊聊安全防护到底该从哪一层做起

网站被打这件事，最气人的不是被攻击，而是钱花了、防护标称几百G，结果攻击一来首页还是502。问题往往不在防御数值，而在你根本没搞清楚自己被打的是哪一层。

先搞明白：你被打的到底是哪一层

绝大多数站长收到的是「网站打不开」这个结果，但原因完全不同。常见的有三类：

• 流量型攻击：UDP洪水、SYN洪水，把带宽占满，服务器本身没事，但外面进不来。
• 应用层攻击：CC攻击最典型，模拟真实用户疯狂请求动态页面，CPU和数据库先扛不住。
• 资源耗尽型：慢连接、大量僵尸连接占着线程，看着流量不大，服务就是没响应。

这三类的应对手段完全不一样。如果你的站是论坛、API接口、电商这类动态为主，光买大带宽高防基本没用，CC照样把你拖死；反过来，纯静态站被UDP洪水打，堆再好的WAF也白搭。

防护不是买一个数值，是叠三层

比较务实的做法是按层配：

第一层是带宽和机房侧的流量清洗。这一层负责把明显异常的洪水流量挡在机房入口，靠的是机房的清洗能力和线路质量。选机器时要看防御是「硬防」还是「共享清洗」，共享清洗在攻击集中时会被别人牵连。

第二层是应用层策略。包括限速、人机验证、动态页面缓存、连接数限制。CC攻击能不能扛住，八成看这一层配得好不好，而不是看机房给了多少G。

第三层才是代码和架构。把静态资源丢CDN、数据库加缓存、关闭不必要的接口，这些不花钱但最有效。

顺序反了，钱就白花。很多站长一上来就冲最高防御，结果应用层裸奔，攻击者用几百个IP就把你打趴。

选型时别只看防御峰值

真正该问服务商的几个问题：清洗是自动还是手动？触发清洗后延迟变化多大？被攻击时会不会直接封你IP了事？有没有真实可测的防护环境？

香港机房离大陆近，延迟低，适合面向国内用户的站点做高防；如果业务本身在海外，美国机房的大带宽高防更划算。香港自营物理服务器这类自营机器，线路和防护策略由服务商自己控制，被攻击时响应通常比转售的灵活。对流量型攻击比较狠、又需要大带宽清洗的场景，可以看看美国硅谷高防服务器，带宽和防御余量都留得比较足。

最后提醒一句：防护是持续对抗，不是一次性采购。上线前压测一遍、攻击后复盘一次日志，比多买100G防御有用得多。