TG咨询搭建基础的DDoS攻击防护方案，重点不是采购一个“无限防护”的产品，而是让攻击流量尽量停留在源站之外，同时保证正常用户仍能访问网站或接口。新手可以先从域名解析、CDN或反向代理、源站访问控制、监控告警四个层面建立基础防线，再根据业务规模增加清洗和切换能力。
先确定需要保护的资产
第一步是列出公开服务，而不是直接修改服务器配置。常见对象包括企业官网、登录页面、移动应用API、在线商城、游戏匹配服务和远程管理入口。每个对象都应记录域名、端口、协议、源站地址、正常访问时间段以及是否允许公网直接访问。
建议把资产分为三类：面向所有用户的网页或API、只对合作方开放的接口、仅供员工使用的管理系统。第一类适合接入CDN和WAF；第二类可以结合访问令牌、来源网络和接口限速；第三类应优先使用VPN、专用网络或办公网访问，避免把管理端口暴露在公网。
基础DDoS攻击防护方案的四层结构
第一层：使用CDN或反向代理承接访问
将公开域名解析到CDN或云反向代理，再由代理访问源站，可以隐藏源站地址，并利用缓存减少重复请求。图片、样式表和公开下载文件适合缓存；登录、购物车和个性化API通常需要绕过缓存或设置较短缓存时间。
如果使用Nginx作为自建反向代理，应仅允许代理节点访问源站，并在防火墙中限制源站入站规则。不能只依靠“隐藏域名”保护源站，因为历史DNS记录、邮件服务配置或错误的接口响应都可能泄露真实地址。
第二层：增加WAF和应用访问控制
WAF主要处理HTTP和HTTPS层的异常请求，例如明显的路径探测、恶意参数和异常请求头。它不能替代网络层的流量清洗，但能减少攻击到达应用程序的机会。规则应先以记录和观察为主，再对高风险路径启用拦截，避免误伤正常用户。
对登录、搜索、发送验证码等高消耗接口，应分别设置速率限制。限制可以按账户、会话、接口密钥或来源网络组合判断，并为正常客户端保留合理的突发请求空间。验证码、密码重试和令牌刷新接口通常比普通内容页更值得优先保护。
第三层：隔离源站并收紧端口
源站服务器只保留业务必需端口。例如，Web服务通常需要HTTPS，数据库端口不应对公网开放，SSH则应限制为固定办公出口或跳板机访问。源站安全组、主机防火墙和云平台网络ACL应采用“默认拒绝、按需放行”的原则。
源站还要设置连接超时、请求体大小、单请求处理时间和进程数量上限。参数不能照搬其他系统：小型WordPress网站、Node.js API和长连接服务的资源模型不同，调整前应观察CPU、内存、连接队列和应用错误日志。
第四层：准备外部清洗和备用接入
当攻击规模超过本地出口或云主机承载能力时，需要联系云厂商或专业防护服务，将流量引向具备清洗能力的接入点。选择时不要只看宣传中的峰值，还要确认支持的协议、可防护端口、清洗后的回源带宽、切换方式和日志保留时间。
新手可以照着执行的部署步骤
- 绘制资产清单：记录域名、源站、端口、业务负责人和恢复顺序，删除不再使用的公网解析。
- 先接入代理层：为官网和静态资源配置CDN或反向代理，验证HTTPS证书、缓存规则、真实客户端地址传递和回源状态。
- 锁定源站入口：在安全组中只允许代理节点、办公出口或跳板机访问对应端口，并检查是否存在备用域名直连源站。
- 配置分级限速：为登录、搜索、验证码和公开内容设置不同阈值。上线初期先观察误拦截，再逐步收紧。
- 建立监控面板：持续观察带宽、请求错误比例、平均响应时间、源站CPU、内存、连接队列和WAF拦截量，并设置趋势告警。
- 演练切换流程：明确谁负责确认告警、谁联系供应商、谁修改解析或路由、谁验证登录和核心交易流程。演练应在低峰期进行，不要在真实攻击中首次尝试。
如何判断防护是否有效
不要只看带宽是否下降。有效的DDoS攻击防护方案还应表现为源站资源没有持续耗尽，正常页面仍能返回，核心API错误率没有明显扩大，管理端未被迫暴露，以及告警能够在数分钟内通知负责人。对于有地域用户的网站，还应分别观察不同网络和地区的访问延迟，避免只保护了服务器却造成代理层拥塞。
可以每月检查一次代理配置、源站白名单、证书有效期、备用联系人和业务恢复顺序。业务上线新域名、新端口或新云区域时，也要同步更新DDoS攻击防护方案，否则新增入口可能成为薄弱环节。
常见问题
只使用CDN就足够吗？
不一定。CDN适合承接网页和可缓存内容，但对不缓存的API、特殊协议或大规模异常连接，仍需WAF、限速、源站隔离或专门清洗能力配合。
小网站有必要购买高规格防护吗？
应先评估业务损失、源站出口、恢复时间要求和公开服务类型。低风险网站可以先采用代理、WAF、端口收紧和监控；涉及交易、公共服务或持续在线业务时，再评估更高等级的防护。
限速会不会影响正常用户？
会有这种可能，因此不要用一个阈值覆盖所有接口。应按接口用途和用户行为设置，并通过日志观察拦截结果，必要时对可信应用或认证用户采用不同策略。
遭遇攻击时首先做什么？
先确认告警和业务影响，保存代理、WAF及主机日志，再按照预案联系防护服务商和业务负责人。不要贸然关闭所有端口或频繁重启服务器，否则可能扩大业务中断。
总体来说，新手不必一次搭建复杂架构。先完成资产梳理、代理承接、源站隔离、应用限速和监控演练，再根据实际风险扩展清洗与备用接入，才能形成可执行、可验证的DDoS攻击防护方案。
