网站被打的时候，最先感觉到的通常是页面打不开。后台日志可能一片空白，客服电话却先响起来了。不少站长是挨过一次之后才认真看防护，这时业务已经受了损失。阿里云高防是常见的选择之一，它把攻击流量拦在源站前面清洗，但买哪一档、怎么配，还要看网站本身是什么样子。
先分清攻击是冲着哪一层来的
网络攻击大致有三种，破坏方式不同，防法也不同。
- 网络层攻击，比如UDP Flood、SYN Flood，靠大量无效包把带宽占满，服务器还没处理请求，链路先堵了。
- 应用层攻击，也就是常说的CC攻击。请求看起来和真用户一样，只是频率异常，专门消耗CPU和数据库。
- 协议层攻击，利用TCP/IP的缺陷占满连接表，半开连接一多，正常用户就连不上。
如果只买了带宽清洗，遇到CC攻击时页面照样会慢，因为请求本身是合法格式。所以选高防之前，先想清楚自己最怕哪一种。
高防是怎么工作的
大致流程是引流、清洗、回注。访问请求先经过阿里云的高防节点，节点根据规则识别异常流量，丢掉攻击包，再把正常请求转回源站。终端用户一般感觉不到这一层，只是访问路径多了一段。
这里有个很容易漏掉的地方。如果源站IP还暴露在公网上，攻击者可以绕过高防直接打源站，前面的投入就白费了。部署时要在安全组或访问控制里，只放行高防回源IP段，其他来源一律拒绝。这一步做不好，别的配置都不算数。
选购时看哪几项
防护峰值要和业务规模对得上
峰值一般用Gbps或Mpps表示。别只盯着数字大小，先看自己过去半年的流量高点，再考虑电商大促、游戏开服、直播开播这类场景。这些时候的流量往往比平时高出很多，提前预留余量，比临时加购划算。
确认是否覆盖应用层
有的产品只管网络层，遇到CC攻击还是会卡。签约前要问清楚，是否有基于请求频率和访问特征的识别能力，以及WAF之类的配套功能。
对延迟敏感的业务要实测
清洗会带来一点额外延迟。做在线游戏或实时音视频的，别只看参数表，最好在测试环境里用真实网络跑一遍，看访问速度和丢包情况。
端口和协议要对上
确认支持的协议（HTTP/HTTPS、TCP/UDP）和端口范围。游戏服务和自定义协议经常用非标准端口，这一点最容易在上线后才发现不通。
一个典型场景：晚高峰的CC攻击
设想一个在线教育平台，晚上八点正是学生集中上课的时段。有人用大量伪造的课程页面请求持续冲击，数据库连接数被打满，学生端不停报加载失败。如果平台只依赖源站自带的限流，往往只能靠人工盯着，效果有限。
比较稳妥的做法分三步。先把域名接入高防，源站只认高防回源。再开启应用层防护，给异常高频的接口设置访问频率阈值。最后补上流量监控和告警，让团队在攻击刚冒头时就能看到苗头。做完这三步，大部分攻击请求会在高防节点被挡下，源站数据库的负载也会平稳很多。高防的价值不只是扛住流量，还在于给技术团队留出处理时间。
上线后要做的几件事
- 提前接入。回源和规则调试需要时间，平时配置好，真遇到攻击时就不用手忙脚乱。
- 定期看攻击日志，记下来源、类型和时段。规律看清楚了，规则才调得准，误拦也会少。
- 白名单别漏。搜索引擎爬虫和合作方接口如果被当成异常请求，收录和对接都会受影响。
- 大促前告诉安全团队。活动期间正常流量突然翻倍，很容易被规则当成攻击处理。
阿里云高防不会替你解决所有安全问题。选之前先看峰值和攻击类型是否匹配，部署时确保源站不被绕过，运行后持续关注攻击态势和误判。这几件事做扎实，高防才能发挥作用。
