DDoS、CC 攻击和恶意爬虫，现在基本是做线上业务绕不开的问题。流量突然冲上来，官网打不开，订单断掉，很多团队就是在这种时候开始找阿里云高防。
这篇文章只说三件事：高防怎么挡攻击，哪些业务真的需要它，买之前该看哪些参数。
高防是怎么挡住攻击的
阿里云高防可以理解成源站前面的一道过滤层。访问请求先到防护节点，清洗后再转给源站，明显的攻击流量在节点上就被截掉。它和基础防护的区别主要在两点。一是能承接的攻击规模更大，数百 Gbps 的流量场景是它的主要用途。二是对 HTTP/HTTPS 层的 CC 攻击处理更细，可以做访问频率限制和人机验证。简单粗暴地封 IP 有时会误伤同一出口下的正常用户，这一点在配策略时要留意。
接入之后的流程大致是这样的：
- 切换解析：把域名解析指向高防 IP。切换前先确认 DNS 的 TTL 设置，否则生效时间可能拖得很长。
- 识别流量：系统会结合访问频率、协议是否合法、请求特征来区分真人和攻击。正式切换前，最好先看一段时间的拦截日志，确认没有误伤。
- 清洗回源：正常请求转回源站，源站 IP 不再直接暴露在公网。这一步要求源站只接受高防回源，否则攻击者还能绕过去。
- 联动规则：把 WAF 和黑白名单加进来，根据拦截记录持续调整。搜索引擎爬虫、合作方的接口调用，通常要放进白名单，避免被误拦。
高防能挡住流量，却替代不了源站自身的能力。服务器性能、带宽余量、代码里的漏洞，还是得业务自己扛。
哪些业务值得上高防
不是每个网站都需要高防，成本和防护规格要对得上。下面几类业务，宕机的代价通常更高：
- 电商和支付：大促时流量本来就涨得快，攻击叠加进来，运维很难一眼分清哪些是真实下单。
- 游戏服务：服务器常被当作攻击目标，竞争对手打压或黑产勒索都可能遇到。玩家断线后，流失往往比想象中快。
- 在线教育和直播：并发集中，开课那几分钟最怕卡顿。宕机一次，投诉会集中出现在群里和客服那边。
- 金融和政务相关站点：对可用性和合规要求高。先按监管和内部要求定下防护等级，再去选规格。
如果只是内部使用的小型博客或展示页面，基础防护加上 CDN 通常够用。硬上高防，多花的钱未必能换来相应的收益。
选购前要看清的五个参数
- 防护峰值：翻一下过去半年的访问记录和攻击记录，找出最高的那次流量，再往上留一定余量。只按平时的带宽去买，很容易买小。
- 防护类型：先分清挨的是网络层 DDoS，还是应用层 CC。如果主要是页面被刷、接口被打，就重点看 CC 防护和访问频率限制。如果是带宽被灌满，重点在网络层的清洗能力。
- 延迟影响：流量多绕一层节点，访问路径会变长。直播弹幕、游戏操作这类实时性强的业务，上线前要用不同地区的网络实际测一测，别只看文档上的数字。
- 回源设置：源站的安全组或防火墙只放行高防回源的 IP 段，其他来源一律拒绝。这一步漏掉，前面的投入基本白费。
- 计费方式：计费通常和防护规格、业务带宽挂钩，可以包年包月，也可以按量付费。流量波动大、攻击没有规律的业务，可以先按量用一段时间，看清用量后再决定是否包年。
买之前，先把自己业务的流量曲线理一遍：平时多少，大促多少，历史上被攻击时峰值是多少。拿着这些数据去和阿里云售前沟通，比直接挑最高规格更靠谱。
一个典型的场景
举个例子，某在线教育平台在一次公开课活动里遇到过两小时左右的 CC 攻击。有人用脚本反复请求课程详情页和登录接口，源站 CPU 很快顶满，直播间开始卡顿，不少用户进不了教室。
事后他们做了三处调整。把域名解析切到高防 IP，让流量先过清洗节点。给登录和短信接口加了访问频率限制，异常请求再弹出人机验证。WAF 里补了几类明显的恶意 UA 和扫描规则。
同类活动再办时，攻击依然存在，但源站负载保持稳定，直播没有中断。攻击照样会来，课堂能照常进行，这才是这次调整的意义。
上线之后怎么维护
高防上线不是一劳永逸的事。每周看一次拦截报告，留意攻击来源和类型有没有变化。业务有新活动或新接口时，记得回头调整访问阈值，否则正常请求也可能被卡住。源站的监控和告警也要配好，出现异常时能第一时间知道。
还有一点要说清楚。高防解决的是可用性问题，数据安全要靠备份、权限管理和代码审计。攻击挡住了，数据库误删或账号泄露一样会让业务出事。
