业务流量突然升高时，先要分清是正常访问增长，还是DDoS攻击。单靠主机上的防火墙或限流规则，难以应对压满公网链路的大流量；只买云端清洗，也不能替代源站自身的访问控制和应用配置。评估抗DDoS主机与云端清洗服务组合采购，关键是让两层防护分工明确，并验证切换是否会影响正常用户。
先把两层防护的职责划清
主机侧：守住源站和应用
抗DDoS主机通常提供一定的网络防护能力，主机内仍需设置仅开放必要端口、限制管理入口访问、及时修补服务漏洞等措施。应用层还可以针对登录、搜索、下单等高频接口设置速率限制，并记录访问日志。若源站地址可被直接访问，攻击者可能绕过云端入口，因此应确认云端接入后如何隐藏或限制源站公网地址。
云端：在流量到达前过滤
云端清洗服务可将流量引入清洗中心，过滤异常流量后再把可用请求转发至源站。接入方式因服务商而异：有的通过修改DNS解析或代理记录接入，有的采用路由引流等方式。前者通常便于保护网站和HTTP、HTTPS业务，但需处理证书、缓存与回源；路由引流适用范围可能不同，实施前要确认地址段、协议和运营商条件。两者都应明确清洗触发条件、流量回源路径和退出方式。
采购前核对四项，不只比较带宽数字
- 保护对象：列出公网地址、域名、协议和端口，区分网站、邮件、游戏连接或API等业务。确认套餐是否覆盖每个对象，以及是否包含IPv4、IPv6。
- 容量口径：问清标注的是接入带宽、可清洗攻击流量还是清洗后的可用带宽。实际需求取决于业务峰值、攻击类型和接入架构，不宜仅凭一个峰值数字判断能否承载。
- 触发与响应：确认自动引流还是人工开通，触发阈值如何计算、预计何时生效、误判如何申诉。若采用黑洞路由等网络侧措施，应了解触发后被隔离的地址范围及恢复流程。
- 业务兼容：核实是否保留真实客户端地址、是否支持长连接、WebSocket及自定义端口；使用HTTPS时，确认TLS终止位置、证书管理和回源加密责任。
用可执行步骤验证组合方案
- 画出访问链路：用户、云端入口、清洗中心、源站分别在哪里，标明DNS解析、回源地址和管理责任人。
- 为关键接口设定正常请求基线和限速规则。阈值应依据真实业务峰值调整，避免把促销、更新或批量任务误判为攻击。
- 与服务商确认演练范围、时间和停止条件，在授权环境或约定时段验证告警、引流、清洗、回源及撤除流程；不要自行制造公网攻击流量。
- 保存告警、流量曲线、拦截规则变更和工单记录。演练后检查正常请求是否被拦、源站是否仍可被绕过，并据此修订配置。
例如，一个提供HTTPS查询与文件下载的网站，可由云端代理过滤异常请求，再让主机侧只接受清洗节点回源，并对下载接口设置适当速率限制。此方案的优点是攻击流量不必全部压到源站；限制在于代理配置、证书和回源策略需要维护，非HTTP业务也未必能沿用同一接入方式。
常见问题
只有主机防护够不够？
若攻击规模可能超过主机网络入口承载能力，主机内规则无法解决链路被塞满的问题，应评估上游清洗；具体仍取决于业务暴露面和攻击类型。
接入云端清洗会不会增加延迟？
流量多经过一段网络路径，可能带来额外延迟；实际变化受节点位置、路由和业务协议影响，应在测试环境或低风险时段测量。
是不是所有业务都能用DNS接入？
不一定。DNS代理常用于网站类流量，其他协议、固定地址访问或长连接业务需逐项确认支持情况。
采购后何时需要复查？
业务架构、地址、流量基线或防护规则变化时应复查，至少保留联系人、授权范围和故障升级流程。做好这些准备，抗DDoS主机与云端清洗服务组合采购才不只是叠加两项产品，而是形成可验证的分层应对方案。
