DDoS 防护术语
DDoS 防护分两层：基础防护默认提供、有流量阈值，超出后进入黑洞或封堵；高防或专业版按防护能力付费，把流量牵引到清洗中心过滤后再回源。三家产品名与调度方式相似，差异主要在防护规格、计费结构与牵引手段上。
基本信息
| 基础防护 | 默认开启，超过阈值后触发黑洞或封堵 |
|---|---|
| 高防产品 | 阿里云 DDoS 高防（IP / 实例）、腾讯云 DDoS 高防、华为云 DDoS 高防 / 原生防护 |
| 调度方式 | 自动清洗 + 黑洞 / 封堵 |
| 计费结构 | 保底防护 + 弹性防护 |
| 触发后果 | 黑洞期间正常流量与攻击流量一起被丢弃 |
| 前置准备 | 备用入口、域名解析切换流程与源站收敛 |
概念对照
| 概念 | 阿里云 | 腾讯云 | 华为云 |
|---|---|---|---|
| 基础防护 | DDoS 基础防护 | DDoS 基础防护 | DDoS 基础防护 |
| 高防产品 | DDoS 高防（IP / 实例） | DDoS 高防（大禹） | DDoS 高防 / 原生防护 |
| 流量清洗 | 自动清洗 + 黑洞 | 自动清洗 + 封堵 | 自动清洗 + 黑洞 |
| 计费 | 保底 + 弹性防护 | 保底 + 弹性防护 | 保底 / 按防护能力 |
| 切换动作 | 改解析或 IP 指向高防 | 改解析或 IP 指向高防 | 改解析或 IP 指向高防 |
典型使用场景
- 对外服务的公网 IP 被攻击导致业务不可用
- 游戏、大促等高风险时段的防护预案
- 被攻击触发黑洞后快速切换入口
- 评估默认基础防护阈值对业务是否够用
- 规划高防与源站之间的回源关系和带宽
防护准备清单
防护准备清单
# 1 摸清入口：列出所有对外的公网 IP、域名与开放端口
# 2 看阈值：确认基础防护的阈值与超限后的行为（黑洞或封堵）
# 3 定方案：按攻击规模与可承受的中断时间决定是否上高防
# 4 演练切换：改解析指向高防，确认源站只接受高防回源
# 5 收敛源站：源站安全组只放行高防回源地址，防绕过
# 6 设预算告警：弹性防护与流量费在攻击期间会明显上升被攻击触发黑洞后，正常流量也会被丢弃；业务要提前评估是否上高防，以及切换备用入口的流程，别等攻击发生时才临时找方案。
高防只能保护经过它的流量：源站 IP 一旦从其他途径暴露，攻击者可以绕过清洗直接打源站，所以源站侧要限制只允许高防回源。