阿里云的DDoS防护分好几档，从免费的基础防护到高防IP，价格和防护能力差别很大。选哪一档，通常先看业务规模和过往被攻击的情况，而不是先看产品名字。这篇文章按攻击类型、防护产品和一个电商案例，把几个档位的差别讲清楚。
一、DDoS攻击通常怎么打进来
DDoS（分布式拒绝服务攻击）的做法并不复杂，短时间内向目标塞进远超其处理能力的请求，让正常用户连不上。轻的时候页面卡顿，重的时候业务断掉几个小时甚至更久。
常见的攻击大致分三类，各自的防护思路也不同。
- 流量型攻击，比如UDP反射、DNS放大，目的是把网络出口的带宽占满。这类攻击靠的是体量，单台服务器扛不住，要靠上游的清洗能力。
- 协议型攻击，比如SYN Flood、ACK Flood，利用TCP握手的缺陷，把服务器的连接表占满。
- 应用层攻击，模拟真实用户访问登录页、搜索接口这类比较耗资源的功能。单个请求看上去没什么问题，所以带宽监控往往看不出异常。
应用层攻击最麻烦。请求内容和正常访问几乎一样，很多团队第一反应是“活动带来的流量高峰”，等反应过来，业务可能已经受影响了。
二、阿里云几档防护怎么选
1. 基础防护
ECS、SLB等云产品默认带基础DDoS防护，不额外收费。它能挡住小规模攻击，个人网站、测试环境用它基本够了。问题在于防护峰值有上限，攻击量一旦超过阈值，服务照样会受影响。所以它适合没出过事、访问量不大的业务，不适合把它当成长期保障。
2. DDoS防护包与高防IP
防护包是在已有云资源上叠加防护能力，适合想提升一些余量、但不想换架构的场景。高防IP则换了一个独立的入口，攻击流量先被引到清洗中心过滤，正常流量再回源到业务服务器。峰值更高，代价也更高。电商大促、游戏开服、金融交易这类对可用性要求很严的业务，一般会上高防IP。
3. Web应用防火墙（WAF）
如果是网站类业务，还要考虑WAF。它主要处理应用层的问题，比如CC攻击这类频繁请求，可以配合访问频率限制和人机验证来拦截。如果同时管理多个域名，WAF集中配置也能省下不少运维时间。WAF不能替代带宽层面的清洗，两者一般配合使用。
三、一个电商大促的防护实例
某中型电商在大促前夕发现，凌晨首页和商品详情页的响应突然变慢，出口带宽也有异常峰值。运维一开始以为是预热带来的正常流量，但看了access日志才发现，大量请求集中打在同一个搜索接口上，来源IP分散在多个地区，单个IP的请求频率明显高于普通用户。
当时他们只依赖云服务器的基础防护，峰值一过阈值，服务就断断续续不可用。后来的处理分三步走。业务迁到高防IP，前面接上WAF；对搜索接口设置访问频率限制，异常请求开启人机验证；再结合安全中心的监控告警，把攻击识别时间从几十分钟压到几分钟以内。
大促期间网站整体保持稳定。复盘之后，团队把流程固定了下来。活动前做压测和防护容量评估，活动中实时盯监控，活动后复盘日志再调策略。这个案例里，产品只是一部分，真正起作用的是对接口的了解和配置，以及有人盯着监控。
四、选型时先看三个问题
选之前可以先问自己三个问题。业务日常访问量大概在什么级别？过去有没有被攻击过？能接受的故障时长是多少？
按经验粗略判断，个人站点和小项目用基础防护即可；访问量有一定规模的企业网站，建议加WAF；电商、游戏、金融这类关键业务，高防IP加WAF组合更稳，同时准备好应急预案。
防护价格通常随防护峰值上涨。与其一上来就买最高规格，不如先估算一次攻击会造成多少损失，再决定投入多少。规格选高了，钱会花在用不上的余量上。
五、结语
DDoS没有一次买断就能解决的办法。选对产品，加上日常监控和定期演练，大多数企业可以把风险压到能接受的范围。越早把这件事纳入规划，关键时刻越不容易手忙脚乱。
