发布服务的 DoS 缓解思路
公网服务被 DoS 攻击是常态而非意外，需要提前设计缓解路径。攻击可以粗分为三类：流量型（带宽被占满）、连接型（会话表与并发被耗光）、应用层（真实业务请求打满后端）。三类对应的缓解手段完全不同：流量型必须依赖上游清洗，连接型靠边界限速与并发控制，应用层靠 WAF 防护与后端弹性。只做其中一层，遇到另一层攻击同样会瘫痪。
基本信息
| 流量型攻击 | UDP 反射、SYN Flood 等，依赖运营商或云清洗中心上游牵引 |
|---|---|
| 连接型攻击 | 边界设备做源限速、并发与新建速率限制、异常源封禁 |
| 应用层攻击 | WAF 挑战与限速、验证码、后端扩容与降级 |
| 前置条件 | 与运营商约定清洗触发条件、联系方式与切换流程 |
| 配套动作 | 业务降级预案、监控告警阈值、事后复盘记录 |
典型使用场景
- 电商、活动类站点在有明确高峰或活动前，提前确认清洗服务已开通并做过演练
- 对外发布服务出现异常流量，需要快速判断是流量型还是应用层攻击
- 边界设备被打满导致内网上网同时受影响，需要把保护范围限定在对外服务上
- WAF 阈值告警需要与实际业务量匹配，避免攻击期间限速误伤正常用户
- 制定降级预案：攻击期间优先保证登录与支付等核心链路可用
- 事后复盘：统计攻击峰值、持续时间、生效的缓解手段与副作用
缓解组合
缓解组合
# 1. 与运营商或云厂商确认清洗触发条件、阈值与联系通道
# 2. 边界设备启用连接数与新建速率限制，按业务分档
# 3. WAF 启用 CC 防护与限速，阈值按历史正常峰值上浮
# 4. 建立业务降级预案：核心功能保通、非核心功能临时下线
# 5. 攻击期间保留完整日志与流量样本，供后续溯源
# 6. 处置结束后复盘阈值与误伤情况，调整参数再演练攻击类型对照
| 类型 | 典型表现 | 主要缓解手段 |
|---|---|---|
| 流量型 | 出口带宽占满，链路时延剧增 | 运营商或云清洗上游牵引 |
| 连接型 | 会话表满、新建连接失败 | 源限速、并发限制、异常源封禁 |
| 应用层 | 后端 CPU 高、响应慢但带宽正常 | WAF 限速与挑战、后端扩容 |
攻击期间优先保证核心业务可用是判断准则：与其让所有业务一起变慢，不如主动下线部分非核心功能把资源留给关键链路。
限速阈值设置不当会把自己正常用户一起限掉，新上线阈值应先设宽、分档灰度收紧，并同步观察业务侧投诉。