基础防护与黑洞机制
EIP 通常默认带有一定额度的 DDoS 基础防护：攻击流量超过阈值后，厂商会把这个地址拉入黑洞，丢弃所有公网流量直到攻击结束。对业务方来说，现象是「地址突然完全不可达」，既不是实例宕机也不是安全组问题。判断的关键在于同时看监控里的流量曲线与攻击事件记录，而不是只看连通性。
基本信息
| 基础防护 | 默认提供，额度与地域、计费类型相关，以官方公示为准 |
|---|---|
| 黑洞 | 攻击超阈值时地址被封禁，公网流量被丢弃 |
| 恢复 | 攻击停止后自动解封，各厂商策略不同 |
| 判断信号 | 业务突然全不可达、ping 无响应，同时流量曲线有异常峰值 |
| 应对方向 | 升级防护产品、切换地址、联系厂商确认封禁状态 |
典型使用场景
- 对外业务突然全站不可达，需要区分是实例故障还是地址被黑洞
- 被攻击后评估是否需要购买高防或原生防护
- 配合监控告警，把攻击事件纳入应急流程
- 用备用 EIP 做切换预案，减少黑洞期间的业务中断
- 复盘攻击流量特征，调整防护阈值与清洗策略
初步判断是否被黑洞
初步判断是否被黑洞
ping -c 3 <EIP> # 全程无回应时需结合监控判断，不能据此定论
traceroute -n <EIP> # 看最后一跳是否停在厂商网络内
# 云监控中查看该 EIP 的入方向流量与攻击事件曲线
# 控制台通常有 DDoS 防护或安全中心页面显示封禁状态与剩余时间现象与判断
| 现象 | 可能是 | 验证方式 |
|---|---|---|
| 地址完全无响应 | 黑洞封禁或实例异常 | 对比同账号其他地址与实例状态 |
| 流量峰值异常 | 正在被攻击 | 查看入方向流量曲线 |
| 攻击结束后自动恢复 | 黑洞自动解封 | 核对事件时间线 |
| 部分地域不可达 | 路由或运营商问题 | 多地拨测对比 |
基础防护额度有限。对外核心业务被持续攻击时，应尽早评估高防或原生防护方案，而不是等被打穿后再决策。
地址被黑洞期间，实例本身仍在运行，SSH 等管理入口若走公网也会一并中断；有条件时应保留内网或跳板机通道。