高防服务器到底防住什么？从清洗方式到防御等级的一次拆解

业务跑到一半突然打不开，后台进不去，客户在群里问是不是挂了，这时候才发现流量曲线是一条直冲天花板的线。多数人第一次遇到 DDoS 都是这个场景，第一反应是加带宽，结果加了也没用，因为带宽只是把管道撑粗，攻击流量照样灌进来。真正决定你能不能扛住的，是流量在到达你服务器之前有没有被拦下来、在哪里被拦下来。这篇讲的是高防服务器的判断逻辑：防护到底防的是什么，防御等级怎么换算成实际承受能力，以及为什么同样标 100G，两家机房的表现能差出一截。

清洗不是把攻击流量删掉，是把它和真实用户分开

高防的核心动作叫流量清洗。攻击流量和正常访问混在同一条线路上进来，机房侧的清洗设备要先判断哪些包是恶意的，再把干净的部分转发给你的服务器。

这里有个容易被忽略的点：清洗能力越强，通常意味着引流环节越复杂。你的域名解析到高防 IP，流量先进机房，清洗完再回源。多这一跳，正常情况下会增加几毫秒延迟，但对于被攻击的业务来说，这几毫秒换来的是服务器不被打死。

我一般会先看两件事：清洗中心的总出口带宽，以及单 IP 的防护上限。前者决定机房整体扛不扛得住大流量，后者决定你这一台机器能分到多少。有些方案标称 200G，实际是整机房共享，你被打的时候隔壁也在被打，能分到多少就不好说了。

按我的经验，中小站点日常遇到的攻击多数在 5G 到 30G 之间，够用就行，没必要一步到位买最贵的档。

防御等级怎么换算成你能承受的攻击

60G、100G、200G 这些数字指的是防护峰值，单位是 Gbps。超过这个值，流量就会被丢弃或者机房直接黑洞你的 IP。

• 60G：够应付常见的 CC 攻击和小规模流量攻击，适合日活几千的站点
• 100G：多数中小游戏、电商、API 服务的常见选择，能扛住有组织的攻击
• 200G 以上：面向的是被持续针对的业务，价格通常翻倍

黑洞是个关键代价。IP 一旦被黑洞，攻击是停了，你的业务也停了，通常要等几十分钟到几小时才解封。所以买防护不是买一个绝对安全的数字，是买一个「攻击来了还能不能继续做生意」的概率。

多花的那部分钱换回来的，就是被黑洞的概率。预算紧的站点，60G 加一台备用 IP 做切换，往往比硬上 200G 更划算。

线路决定正常访客的体验，这一层常被防护盖过去

很多人选高防只看防御数字，忽略了回源线路。攻击过去之后，你的用户还是要正常访问的。如果回源走的是普通国际线路，晚高峰丢包和绕路会让页面打开速度掉一大截。

香港机房的优势就在这里：物理距离近，接 CN2 类线路时，大陆方向的延迟通常能压在较低水平，被攻击时切到高防 IP 也不至于让正常用户等太久。

取舍上我会这么看：如果业务用户主要在大陆，香港高防加优质回源线路值得多花这笔钱；如果用户分散在欧美，那西雅图或者硅谷的高防机房距离更合适。比如 香港高防服务器 XI，E5-2650*2 配 32G 内存、50M 带宽，月付 319 美元，属于防线和线路都照顾到的档位。用户偏北美的话，美国西雅图高防服务器9 是 E5-2620、32G、100M 带宽、月付 129 美元，带宽给得更宽，价格也低一档。

下单前把这几件事问清楚

防御峰值只是第一层。真正影响体验的是清洗触发阈值、回源线路类型，以及攻击超过防护值之后机房怎么处理。

触发阈值设得太低，正常流量波动也会被当成攻击，用户会被误拦；设得太高，攻击进来才反应，前面那几秒你的服务器已经在硬扛了。这个值机房一般可以调，下单前问一句。

超过防护值之后，是黑洞还是弹性扩展，差别很大。黑洞等于业务下线，弹性扩展意味着超出部分按量计费但服务不断。后者贵，但对不能停的业务来说，这笔钱省不得。

回到最实际的问题：日活几千的站点，60G 到 100G 的香港高防基本够用，月付大致在几百美元区间；被持续针对性攻击的游戏或金融类业务，才需要考虑 200G 以上，并且要提前确认超量后的处理方式。别为了省几十美元选一个回源线路差的机房，攻击过去之后的日常体验，才是用户真正在意的部分。