凌晨收到云监控短信，带宽曲线直接顶满，网站全打不开，登录服务器本机都很卡。这种症状十有八九是遇到了ddos攻击，先搞清楚它是什么，再说怎么办。

原理一句话说清

DDoS翻译过来是分布式拒绝服务：攻击方控制大量设备，同时向目标发送请求，把出口带宽、连接数或者业务进程的资源耗光，正常用户就进不来了。它的目的不是偷数据，而是让你无法提供服务，代价是防护和恢复的时间成本。

常见的类型常识

  • 流量型：靠巨大的数据流量把带宽灌满，清洗要在机房层面做，单机无解
  • 协议型：专打连接建立过程，让服务器堆满半开连接，新用户握手失败
  • 应用型：伪装成正常HTTP请求耗尽后端资源，常说的CC攻击属于这类，最难分辨

这里只讲识别和防护，具体攻击手法不在讨论范围。

怎么区分攻击和业务高峰

看监控三处：流量来源IP是不是高度分散、请求是不是集中在同几个URL、时段是否符合正常用户习惯。真攻击往往来源杂乱、请求模式单一、不挑时间；活动高峰则和你的推广渠道对得上。拿不准就直接找云服务商，他们看得到全网视角。

防护思路按层来

个人站长和小企业别幻想服务器自己扛，单机防火墙面对分布式流量没有意义。现实做法是：接入云厂商的DDoS防护或高防IP，让清洗中心在流量到达源站前处理；网站套CDN隐藏源站IP，降低被直接瞄准的概率；应用层做请求频率限制，比如单IP每秒请求数超过阈值就拒绝，异常会话直接拉黑；重要业务准备降级预案，静态页兜底，数据库定期备份。

遇到时的处置顺序

  • 保留监控截图和告警记录，先判断是攻击还是业务高峰
  • 第一时间联系云服务商或机房，开防护或切换清洗
  • 业务恢复后复盘入口暴露面，能套CDN的都套上
  • 收到勒索信息的保留证据走报警渠道，别私下转账

实际判断：ddos攻击拼的是资源消耗，防护靠架构冗余和服务商能力，日常把源站藏好、预案写好，比被打时手忙脚乱有用得多。