DDoS 攻击的目的，是用服务器无法承受的流量淹没目标，让服务无法访问。高级 DDoS 防护会在服务器上游做流量过滤：恶意流量在到达服务器之前就被清除，访客、客户或玩家仍然可以正常访问。
本文说明这种过滤能为业务带来什么、不能做什么，以及如何根据对外暴露的服务选择方案，例如 Infrawire 的 VPS Anti-DDoS。
DDoS 防护有什么用
没有防护时，服务器会照单全收所有发来的流量。一旦线路被打满，无论怎么调整服务器配置都无济于事：即使机器本身很空闲，正常请求也已经进不来了。这就是典型的流量型（volumetric）攻击。
防护的首要作用，是在攻击期间保持服务可访问：网上商店、API、游戏服务器、客户area、VPN 都是如此。它还能避免没有过滤能力的主机商常见的一种副作用：为了保护自身网络的其余部分，他们可能会暂时封停被攻击的 IP 地址。对企业来说，攻击的真正代价体现在流失的订单、不满的客户，以及处理危机所耗费的时间上。
需要了解的攻击类型
不同的攻击打击的位置不同。所需的过滤级别，取决于你在线上提供什么服务。
| 类型 | 原理 | 示例 |
|---|---|---|
| 流量型 | 耗尽带宽 | 大量发送未经请求的数据 |
| 协议型 | 耗尽服务器的连接资源 | 短时间内发起大量虚假连接请求 |
| 应用层 | 模仿真实访客 | 对同一页面发起成千上万次搜索或登录 |
上游的网络层过滤能很好地应对前两类。第三类更棘手：格式正确的请求看起来与正常访客无异，往往需要由网站或应用自身来处理。
过滤能为你做什么
原理并不复杂。入站流量会在到达服务器之前被分析，符合已知攻击特征的流量被丢弃，只有其余部分会被转发。针对最常见的网络层攻击，你不必自己搭建一套复杂的架构。
专门面向这一用途的方案，其价值在于防护本身就是基础设施的一部分，而不是问题发生之后才临时加上的模块。具体的覆盖范围（端口、协议、可处理的攻击类型）请参见 VPS Anti-DDoS 页面。如果要部署不常见的服务，例如使用私有协议的游戏，请先阅读这部分说明。
它不能取代什么
网络层防护并不能抵御一切。实际工作中，下面几点经常出现：
- 应用自身的漏洞：一个很慢的功能被反复调用，就可能拖垮网站，而流量看起来并无异常。
- 源站 IP 暴露：如果服务器的 IP 已为人所知且可以被直接访问，攻击者就可以直接以它为目标。
- 不必要的服务：对整个互联网开放的数据库，无论有没有遭受攻击，始终都是风险。
- 监控：没有流量和性能指标，就无法判断变慢是来自攻击，还是只是一个普通的 bug。
因此，细致的服务器配置、定期更新和设置得当的防火墙依然必不可少。DDoS 防护是在这些基础之上的补充，而不是替代。
根据用途选择方案
合适的选择取决于对外暴露了什么，以及服务中断会造成多大损失。
- 游戏服务器：常成为玩家之间或敌对社区攻击的目标。根据预期负载，可以选择游戏专用服务器或带防护的 VPS。
- 网站与 API：VPS Anti-DDoS 可保护公网地址。建议再配合缓存，并限制每个访客的请求频率。
- 高负载或有特定网络需求：独立服务器提供更大的调整空间和不共享的资源。
别忘了为机器本身做好容量规划。过滤会清除攻击流量，但服务器仍然要承受合法流量，包括访问高峰或促销活动期间的流量。
FAQ
不会。它能大幅降低网络层攻击带来的风险，但应用漏洞、弱密码或配置不当的服务依然是隐患。它是对服务器安全的补充，而不是替代。
在专为此用途设计的方案中，过滤在基础设施层面就已经提供。请查看方案页面了解具体覆盖范围，再根据你对外暴露的服务来调整服务器和应用的配置。
常见迹象包括：真实访客没有增加，流量却骤然上升；网站变得极慢或无法访问；监控工具发出告警。如果拿不准，可以带着你的观察结果联系主机商的支持团队，由他们帮助确认问题的来源。
这取决于网站的曝光程度，以及它对业务的重要性。很少被针对的展示型网站通常可以不用，而电商网站或经常被攻击的网站，则有充分的理由配备防护。无论如何，启用缓存并限制登录尝试次数，都能降低风险。