高防服务器避坑清单：防护峰值的4步核对

高防产品页上的那个数字几乎都写着「防护 XXX G」，而这个数字能说明的问题很有限。真正的防护能力由三层决定：清洗中心的容量、单个 IP 实际分到的配额、以及超出后的处置方式。三层里任何一层缩水，标称的峰值都用不上。更麻烦的是，峰值这个指标无法通过单一测试验证，只能靠拆解三层、再看清楚超出时的行为。这篇文章按「怎么核对峰值」这条线，把清洗容量、单 IP 配额、触发阈值、超限处置、回源链路五个环节逐项拆开，并在最后给出五个可以照着问的问题。

先给一个判断口径：能说出「超出多少之后会发生什么」的商家，比只报一个峰值数字的商家可靠得多。前者说明他们处理过真实的超限情况。

一、防护峰值到底指什么

同一个数字在三种不同口径下含义完全不同。分不清口径，比对没有意义。

第一层是全站清洗容量。整个清洗中心能处理的总流量。这个数字最大，也最常被写在宣传页上。

三层之外还有一个常被混进来的数字是「机房总带宽」。总带宽与清洗能力不是一回事。把带宽当成防护能力的产品，本身就没打算讲清口径。

第二层是单个 IP 的清洗配额。一个地址最多能承受多少攻击流量。这才是用户实际能用到的数字。

第三层是单次攻击的峰值上限。超过之后的处置方式。这一层决定超出时是「慢」还是「断」。

三层之间的关系是包含：全站大于等于单 IP，单 IP 大于等于单次处置上限。宣传页通常只给第一层。问清楚后两层，才能知道实际能扛住多少。

二、清洗容量与单 IP 配额的差距

这两个数字经常被混用，差距可能是几十倍。理解差距的来源，就知道为什么标称值参考价值有限。

原因是全站容量由所有客户共享。一个清洗中心服务很多机器，单个 IP 分到的只是其中一部分。如果每个客户都按全站容量使用，任何一个中心都不够用。

还有一个来源是「区域合计」的说法。有的商家把多个清洗中心的容量相加报数。单点受攻击时只能用到所在区域的容量，合计值没有参考意义。

所以单 IP 配额通常明显小于全站容量。配额的具体数值取决于产品档位。低价档的配额往往只有全站容量的很小一部分。

差距带来的后果是：标称 300G 的产品，单 IP 配额可能只有几十 G。遇到超过配额的攻击时，进入第三层的处置流程。而这一层的处置方式，宣传页通常不写。

# 核对清单：把三层数字分别写下来
cat > ddos_check.txt <<'EOF'
1 全站清洗容量(G):
2 单IP清洗配额(G):
3 单IP保底配额（合同写明）:
4 超出配额后的处置:
5 触发清洗的阈值:
6 是否区分四层与七层:
EOF

六项里第三项最关键。只有「合同写明」的数字才是承诺，宣传页上的数字不是。把第三项写进合同，是这类产品最实质的保障。

三、触发清洗的阈值与误清洗

防护不是无条件开启的。低于阈值时不清洗，高于阈值才启动。阈值设定不当会造成误清洗。

阈值过高的问题是攻击穿透。攻击流量还没到阈值，业务已经受影响。这类情况表现为攻击期间业务自己变慢，但没有进入清洗。

阈值的统计周期也是要问的项。按秒统计与按分钟统计，触发难度相差很大。按分钟统计的阈值，短时突发更容易穿透。

阈值过低的问题是误清洗。正常流量被判定为攻击，业务被拖进清洗中心。这类情况表现为无故延迟升高、部分访问失败。

阈值通常按协议类型区分。四层与七层的判断规则不同。只做四层防护的产品，对七层的应用型攻击无能为力。

核对方法是直接问触发条件。具体数值、按什么统计、调整需要多长时间都是要问的项。答不上具体数值的，多半是固定阈值，无法按业务调整。

还有一个常见问题是被清洗之后的回源。流量经过清洗中心再到源站还有一个常见问题是被清洗之后的回源。流量经过清洗中心再到源站，这一段链路的质量决定清洗后的体验。如果回源链路差，清洗再彻底也没用。

四、怎么自己压一次测试

防护能力可以自测，但要注意边界。自测只用于验证阈值与处置方式，不是攻击别人。

第一步测阈值。用自己业务正常的并发量逐级提高，观察何时进入清洗。这个点就是实际阈值，和商家说的一致才可信。

自测还有一个前提：先摸清自己业务的正常波形。不知道正常是什么样自测还有一个前提：先摸清自己业务的正常波形。不知道正常是什么样，就看不出异常。这也是为什么平时的监控比攻击时的排查更重要。

第二步看误清洗。阈值附近持续跑一段时间，看正常请求是否被拦。误清洗的表现是成功率下降但网络没有异常。

第三步看处置方式。用可控流量超过配额，观察是中断还是变慢。这一步需要在商家的知晓下进行，避免被当成真实攻击。

第四步看恢复速度。停止流量后多久恢复正常。恢复慢说明处置是黑洞式的。

# 阈值附近的自测（仅在自己业务上、并发逐级提高）
ab -n 2000 -c 20 https://你的域名/
ab -n 4000 -c 40 https://你的域名/
# 观察每级的失败率与响应时间
cat access.log | awk '{print $9}' | sort | uniq -c

三级并发跑下来，失败率曲线的拐点就是阈值。拐点明显早于商家说的数字，说明实际能力打了折。这条曲线是自己手里最有力的证据。

自测要注意两件事：只打自己的域名，并提前告知商家。否则可能触发对方的防护策略或被误判。这一步的沟通成本很低，却避免很多麻烦。

五、超出配额后的处置方式

这是最难问清楚、也最影响实际可用性的一项。四种处置方式差别巨大。这是最难问清楚、也最影响实际可用性的一项。四种处置方式差别巨大。

第一种是黑洞。超过配额直接把地址拉黑一定时间。这种方式对攻击最有效，但业务同时中断。

第二种是限速。降低清洗带宽，业务变慢但不中断。对中小流量攻击更友好。

还有一种是「部分清洗」。只清洗被判定为攻击的那部分流量，其余放行。这种做法对业务影响最小，但需要更细的识别规则。

第三种是升级清洗。临时调度更大的清洗能力。这种方式需要商家有富余容量，通常在合同里有限制次数。

还有一种少见但存在的是「弹性防护」。平时按低档收费，攻击时自动扩容并按时长计费。这类方案适合攻击偶发且峰值高的业务，账要按峰值月算。

第四种是通知+人工介入。由值班人员判断处理。响应速度取决于商家的值班配置。

四种里用户最关心的是「中断多久」。黑洞可能是几十分钟到几小时，限速基本不中断，人工介入取决于响应。把这一项问清，比问峰值有用得多。

处置方式	业务表现	恢复时间	适合场景
黑洞	完全中断	数十分钟起	非核心业务
限速	变慢不断	攻击结束即恢复	多数业务可接受
升级清洗	基本无感	即时	有次数限制
人工介入	不确定	取决于值班	需备份预案

第二行是多数业务的合适选择。变慢不中断，比完全中断的损失小得多。下单前明确要求限速而非黑洞，是一条很实用的条款。

六、回源链路怎么核对

清洗完成之后，流量还要回到源站。这一段经常被忽略，却是决定体验的最后一环。

第一项是回源路径是否直连。清洗中心到源站之间如果绕行，延迟会叠加。用路径跟踪能看出中间是否有额外的跳数。

还有一个细节是回源使用的协议。回源走七层代理还是四层转发，对性能与可防护的攻击类型都有影响。这一项值得在提问清单里单独列一条。

第二项是回源的稳定性。回源链路本身的抖动会直接传到用户。攻击期间回源链路若被波及，清洗效果会打折。

还有一项是清洗之后的带宽是否受限。有的方案清洗后限速到较低带宽。这类情况在攻击结束后才被发现，体验已经受损。

第三项是回源时的源站暴露程度。源站地址如果可被直接访问，防护形同虚设。这一项必须确认源站只接受清洗中心的流量。

# 回源链路的三项核对
# 1) 从公网看是否只能到达清洗节点
traceroute -n -w 2 -q 1 你的域名解析地址 | tail -5
# 2) 源站是否可被直接访问（应超时或拒绝）
curl -m 5 -sI http://源站IP/
# 3) 回源延迟
ping -c 20 清洗节点地址

第二条是最容易被忽略的检查。源站直接可达时，攻击者可以绕过清洗。这一项没处理好的话，标称多少峰值都无意义。

七、六个可以对照的高防方向渠道

下面几家在公开资料里提到高防或防护相关能力，可作为比价时的起点。

数掘科技 公开资料提到主打抗攻击类机房与防护方案。专做这一类的商家，对超限处置的口径通常更清楚。

hostkvm 公开资料提到多地区高防类产品。多机房意味着可以把源站放在离清洗中心更近的位置。

野草云 公开资料提到高防与常规线路并行的产品线。同一家既有常规也有高防，便于对照真实差价。

云途 公开资料提到涵盖防护与优化线路的方案。线路与防护分开描述时，回源路径更容易问清楚。

浪浪云 公开资料提到防护类云服务器产品。云形态通常可按需调整配额，适合攻击量波动大的业务。

恒创科技 公开资料提到自有 ASN 与 RIR 会员资质。自持网络资源的商家在回源路径上更可控。

以上均为商家公开描述，不代表实测结论。峰值无法靠宣传页核对，只能靠合同与实测。

八、下单前的五个提问

五个问题按重要性排列。前两个答不出来，其余四个都不用问了。

1、合同里写明的单 IP 保底配额是多少

要具体数字，不要「按档位分配」这种说法。写进合同才算承诺。

2、超出配额之后是限速还是黑洞

这一项决定攻击期间业务是变慢还是断掉。能选限速的优先选限速。

3、清洗阈值是多少，能否按业务调整

固定阈值意味着无法适配流量特征。能调整的说明商家有运营能力。

4、是否包含七层防护，规则能否自定义

只做四层防护的产品对应用型攻击无效。七层防护通常需要额外配置。

5、回源链路是直连还是绕行，源站如何隐藏

源站可被直接访问时防护会被绕过。这一项必须由商家给出具体做法。

把五项写成邮件正文发过去，回复即留存。邮件往来的效力比聊天记录强得多。

五项里第一与第五最硬。一个决定能力上限，一个决定防护是否有效。其余三项决定使用体验。

答不出第一项的，直接放弃。没有保底配额的高防，等于没有承诺。这条标准能筛掉大量只做转售的产品。

九、被攻击之后的三段处置流程

攻击发生时的处置顺序，决定了损失大小。三段流程是基本盘。

第一段是确认攻击类型。是流量型还是应用型，四层还是七层。类型判断错，用错防护手段，等于没防。

还有一件在攻击前就该做的事是准备预案。谁值班、先看哪个指标、什么情况下降级。预案在手，攻击时不需要现场决策。

第二段是确认流量走向。攻击是否已经进入清洗，源站是否仍被直接打。这一步决定要不要临时换地址。

还有一个容易忽略的角度是攻击的持续性。一次打十几分钟和连着打三天还有一个容易忽略的角度是攻击的持续性。一次打十几分钟和连着打三天，处置策略完全不同。后者要考虑的是长期对抗，而不是单次拦截。

第三段是通知与记录。把时间、类型、流量、处置方式记下来。这份记录是后续索赔与优化配置的依据。

还有一个动作是同步通知业务方。谁在什么时候知道、由谁对外说明。攻击期间的沟通混乱，造成的损失往往不比攻击本身小。

# 攻击期间快速定位
# 1) 看当前连接来源分布（字段按自己日志调整）
awk '{print $1}' access.log | sort | uniq -c | sort -rn | head -20
# 2) 看请求特征是否集中在单一路径
awk '{print $7}' access.log | sort | uniq -c | sort -rn | head -10
# 3) 看响应码变化
awk '{print $9}' access.log | sort | uniq -c

三条命令分别看来源、路径与结果。三者结合能快速判断是流量型还是应用型。这一步做快，处置就快。

最忌讳的是攻击一开始就换地址。地址换掉，记录也断了，下一次还会重复。先把记录做全，再决定换不换。

十、四类业务该怎么选档

防护档位不是越高越好。按业务的中断容忍度分四类。

第一类是对中断零容忍的核心业务。支付、登录、下单。这类要选限速处置加升级清洗的组合，价格最高但值得。

第二类是内容与展示类。中断十几分钟损失有限。这类可以选择黑洞处置的档位，成本低很多。

还有一项成本该算进去：防护带来的延迟。流量绕行清洗中心会增加往返时间。对延迟敏感的业务，这一项可能抵消掉防护带来的收益。

第三类是下载与分发类。流量大但可容忍延迟。这类更该关注带宽而不是峰值。

还有一类是混合型业务。既有对延迟敏感的接口，也有可容忍延迟的下载。这类业务按主体业务的容忍度选档，其余部分单独处理。

第四类是内部系统。访问范围受限，被攻击概率低。这类通常不需要单独买高防，基础防护足够。

四类的判断标准可以简化成一句：中断一小时会损失多少。损失大于一年防护费用的四类的判断标准可以简化成一句：中断一小时会损失多少。损失大于一年防护费用的，才值得买高档位。这个换算比比较峰值数字实在得多。

还有一类常被忽略的是测试与影子环境。这类环境被攻击的概率不低，但中断影响很小。用低档位或与主站共用防护即可。

十一、合同里该写清的四句话

口头承诺在争议时没有用。四句话写进合同，才有实际保障。

第一句是单 IP 保底配额的具体数值。写明单位与统计口径。没有数值的承诺等于没有承诺。第一句是单 IP 保底配额的具体数值。写明单位与统计口径。没有数值的承诺等于没有承诺。

还有一件事要在签之前确认：防护是绑定地址还是绑定域名。绑定地址的方案换地址后要重新配置，绑定域名的方案改解析即可。这一项影响后续运维的灵活度。

第二句是超出后的处置方式与恢复时限。是限速还是黑洞，恢复不超过多久。这一句决定攻击期间的业务损失。

第三句是误清洗的责任划分。因阈值设置不当导致正常业务中断时如何处理。这一句在出问题时能把责任说清。

还有一句常被漏掉的是升级清洗的费用。临时调度更大的容量是否额外收费、单价多少。这一项在攻击高峰期容易变成临时账单。

第四句是换址的支持条款。受攻击导致地址不可用时，换址是否免费、多久完成。这一句在极端情况下决定能否快速恢复。

五项逐条对照合同原文，勾不上的要追问。这份清单的价值在于把口头承诺变成可核对的条目。

五行勾完再看价格。不是所有商家都愿意写这五条。愿意写的，通常是真的有运营能力。

不愿意写的也不必强求。这种情况说明它做的是转售，能力边界在上一级。接受这个前提再决定要不要买，比买了之后才发现要好。

十二、结论：峰值看合同，不看宣传页

把整篇收成五条。

一、防护峰值有三层口径：全站容量、单 IP 配额、单次处置上限。宣传页通常只写第一层。一、防护峰值有三层口径：全站容量、单 IP 配额、单次处置上限。宣传页通常只写第一层。

二、全站容量由所有客户共享，单 IP 配额往往只是其中一小部分。要问合同写明的保底配额。

三、清洗阈值过高会穿透，过低会误清洗。只做四层防护的产品对应用型攻击无能为力。

四、超限处置有黑洞、限速、升级、人工四种。黑洞意味着业务随攻击一起中断，下单前务必明确要求限速。

五、回源链路必须确认源站不可直接访问，否则清洗会被绕过，峰值标多少都没用。

最后一句：高防买的是「超出之后怎么办」，不是那个峰值数字。问清处置方式，比比较数字更有价值。

本文所涉防护口径划分、清洗机制与回源链路核查方法均整理自公开技术资料与行业认识，为 2026 年 11 月查询所得。实际防护能力、配额、阈值与计费条款受商家产品与合同约定影响，文中判断为一般性经验，不构成对任何具体产品或商家的防护效果保证。文中命令示例用于查看路径与可达性，不同环境下结果不同，请以实际测量为准。各服务商的配置、计费与条款会随时调整，请以其官网与合同实时显示为准。本文观点与选购建议仅供参考，不构成任何购买承诺，亦不代表本站立场。读者应结合自身业务需求独立判断、自行决策，因购买、部署或使用相关产品与服务所产生的直接或间接损失，作者及本站不承担任何责任。