网站突然打不开、服务器带宽被打满、CPU飙到100%——遭遇DDoS攻击时，每一分钟宕机都是真金白银的损失。本文提供一套”应急止血 + 长期防护”的完整方案，适用于部署在香港服务器上的各类站点。
一、先判断：你遭遇的是哪种攻击？
- 流量型（UDP Flood / 反射放大）：带宽瞬间被打满，Ping全部超时——特征是机房侧监控流量暴涨；
- 连接型（SYN Flood）：带宽未满但服务无响应，
netstat可见海量 SYN_RECV 半连接； - 应用层（CC攻击）：服务器能Ping通，但网站极慢，Web日志里出现大量高频请求同一动态页面的记录。
判断类型决定处置方式：流量型必须靠上游清洗，服务器本机是扛不住的；连接型与CC型则可以在系统与应用层缓解。
二、应急处理四步（黄金30分钟）
- 接入CDN/云清洗：立即将域名接入带防护的CDN（如 Cloudflare），让攻击流量在边缘被过滤，源站只接受CDN回源；
- 隐藏并更换源站IP：攻击者已知的源IP必须更换，新IP绝不直接暴露——DNS只解析到CDN，源站防火墙只放行CDN回源网段；
- 系统层限流：开启SYN Cookie（
net.ipv4.tcp_syncookies=1），用防火墙限制单IP连接数与新建速率； - 应用层过滤CC：Nginx开启 limit_req 限速，配合验证码或JS挑战拦截脚本请求。
三、长期防护：架构层面的抗打设计
- 源站永不裸奔：从上线第一天就走”CDN前置 + 源站白名单”架构，源IP不出现在任何DNS历史记录、邮件头或SSL证书日志中；
- 物理独享的底子：攻击发生时，超售云主机的邻居互相拖累会放大灾情；香港独立服务器的独享带宽与算力为清洗和过滤留出余量；
- 多IP冗余：站群服务器的多IP架构天然具备”弃车保帅”能力——单个IP被打，切换解析即可恢复；
- 监控与预案：部署带宽与可用性监控，把上述应急四步写成预案文档，攻击来临时按清单执行而不是临场慌乱。
四、机房侧能提供什么支持？
遭遇攻击时第一时间联系服务商：机器云技术支持工单7×24小时响应，网络故障类问题通常10分钟内跟进，可协助研判攻击类型、执行IP更换等操作（Telegram：@idcservice）。
DDoS无法杜绝，但完全可以让它”打不疼你”。核心口诀：源站藏好、CDN扛住、独享资源留余量、预案在手不慌乱。
