高防IP选购与抗DDoS接入指南

一、这份指南解决什么问题

结论先行：抗D采购花错钱，多数错在三个地方——把带宽当防御、把产品当能力、把接入当结束。带宽不等于防御能力，买的防御峰值才是；产品不等于防护效果，规则调优跟上了才生效；接入不等于完事，源站收口与持续运营才是长期动作。

这份指南把每类攻击的原理、每个参数的含义、每种产品的边界、接入与验收的动作全部写开。文中价格均为中国市场参考区间，用于判断投入量级；防护能力指标为接入平台口径，以实测与套餐说明为准。凡是我们不确定的信息，都标注「需核实」，不编造精确数字。

二、DDoS、SYN、CC：三类攻击的原理

买防护之前先弄清你防的是什么。对外业务常见的攻击分三类，打的位置不同，防的方法也不同：

三者的关系可以这么记：流量型打「管道」，连接型打「门」，CC 打「柜台」。管道被堵死，谁都进不来；门被挤满，真人进不去；柜台被围住，来了也办不成事。这就是为什么高防套餐里 DDoS 防御峰值与 CC 防护（QPS 档位）分开列——两个数字防的是两种攻击。

近年 CC 的一个变化值得注意：自动化脚本越来越像真人，能过基础的频率检测，部分平台开始用行为建模与人机识别（如意行为序列分析）区分。选购时可以问服务商一句「CC 防护识别到什么程度」，答不上来的规则大概率只有特征库比对。

三、为什么带宽堆不过攻击

直觉的对策是「我带宽买大点」。这条路走不通，原因有三个。

其一，成本不对称。攻击方租用僵尸网络发起反射放大，一倍流量可以放大成几十倍打向你；防御方按带宽月付，线性成本对指数放大，账算不平。其二，攻击规模没有理论上限。你买 10G，对面能打 100G；你买 100G，还有更大的在后面。其三，带宽挡不住应用层攻击。1Mbps 的 CC 请求流就能打满一台应用服务器，带宽再大也一样挂。

所以现代防护的核心思路是近源清洗：攻击流量在汇入你的链路之前，就在离它出发地近的清洗节点被识别并丢弃，正常流量继续转发回源站。你的带宽按正常业务量采购，防御按峰值弹性付费，两条账分开算。判断一个防护方案的底气，看的不是「给你多大带宽」，而是「清洗网络总容量多大、你的防御峰值多少、超峰后怎么弹性扩」。

四、买高防前要懂的七个参数

报价单看不懂，通常是参数含义不清。七个高频参数，一次说明白：

1. 防御峰值：你的套餐在计费周期内可获得的清洗能力上限，超出部分按弹性规则处理（穿透或弹性计费，签约前必须问清是哪一种）。
2. 清洗能力：清洗网络的总容量（平台口径），决定平台上限，不等于你能用的量。
3. 回源：清洗节点把正常流量转回源站的过程。回源线路质量直接决定接入后的延迟表现，三网回源指电信、联通、移动三条线路都有就近入口。
4. QPS 档位：CC 防护每秒可处理的请求量，按业务峰值请求量选，留出活动期余量。
5. 弹性防御：超过套餐峰值后临时扩展清洗能力的机制，按天或按次计费，适合「平时小、打起来大」的业务。
6. Anycast：同一个 IP 在多地宣告，用户与攻击流量都进入就近节点，攻击被分散吸收而非集中压向单点。
7. BGP 三网直连：清洗中心与三大运营商骨干网直连，避免绕行第三方造成的延迟与抖动。

这七个参数里，跟你账单直接相关的是防御峰值、QPS 档位与弹性规则；跟体验相关的是回源线路与 Anycast 覆盖。签合同前把这三组数字逐条对到报价单上，含糊的表述都要求写清口径。

五、防御峰值怎么估

结论：按「历史攻击峰值乘二」起步，再看业务类型上调；没有历史数据时按行业基准估，并选弹性规则友好的套餐。

被打过的业务好办：翻攻击记录，取历史峰值为基准，乘二留余量。被打过 40G 的游戏业务，100G 档是合理起点；被打过 300G 的金融业务，直接谈弹性防御组合，单纯堆固定峰值不划算。

没被打过的业务按暴露面估：企业官网与内部系统（不直接对外或访问量小）30–50G 通常够用；有登录与交易的 Web 业务建议 50–100G；游戏开服、电商大促、有明确对抗预期的场景 100G 起步并配弹性。同时确认两件事：超峰后是穿透还是自动弹性（前者会中断，后者会计费），弹性部分怎么结算（按天、按次还是按月封顶）。这两个问题的答案，往往比峰值数字本身更影响总成本。

六、高防IP、游戏盾、高防CDN怎么选

三个产品都叫「高防」，防的对象与接入方式不同。先给选择结论，再展开：

展开说边界。高防 IP 是万能入口但只管 IP 层：流量清洗、端口转发、源站隐藏，网页业务的首选。游戏盾解决的是高防 IP 解决不了的问题——TCP/UDP 长连接业务的协议层防护，客户端不带票据的流量在入口就被丢弃，源机 IP 对外不直接暴露；代价是要动客户端（SDK 或封装），有版本发布成本。高防 CDN 把防护做在边缘节点上，加速与防护一体，静态资源占比高的业务收益明显；纯动态接口为主的业务，CDN 缓存帮不上忙，高防 IP 更直接。

组合使用很常见：网游「官网+登录走 IP 高防、战斗服走游戏盾」；电商「静态走 SCDN、交易接口走 WAF+高防」。先测攻击面再定组合，比照着别人的方案抄更省钱。

七、防流量与防内容：WAF 的位置

高防与 WAF 是互补关系，不是替代关系。高防看「量」——带宽、连接、请求频率；WAF 看「内容」——这个请求本身是不是攻击：SQL 注入、XSS、越权、恶意爬虫、伪造表单。

判断要不要单独买 WAF，看三个信号：有登录与支付环节（注入与撞库风险）；有开放 API 或小程序后端（脚本刷接口风险）；日志里出现过可疑的批量请求（爬虫或探测）。三者中任何一个成立，WAF 就值得买；纯静态展示站，高防 CDN 自带的 WAF 模块通常够用。

WAF 的实际效果七分在规则调优：默认规则面向通用业务，你的登录频次、下单节奏、API 调用模式都是特定的，不调校的结果要么误杀真人（用户骂客服）要么放过脚本（防护白买）。买 WAF 时把「上线后谁来调规则」一并谈掉，或者交给规则运营托管。

八、云防火墙与边界管控

前几节说的都是「别人打进来」，云防火墙管的是另一个维度：出与横。它部署在 VPC 边界，统一管控南北向（对互联网的进出）与东西向（主机之间的互访），能回答三个传统手段回答不了的问题：我的机器都对外连了谁、主机之间哪些访问是合理的、有没有机器在异常外联。

什么业务需要它：主机数量多（十台以上）、有内网分区（应用区、数据区、管理区）、有等保边界管控要求、或者怀疑过内部异常外联的。三五台服务器的小业务，安全组加系统防火墙够用，先不必上云防火墙。

顺带一句常见误解：云防火墙不是买来「防 DDoS」的，它不清洗流量攻击；它的价值在访问关系可视与边界收敛。两者搭配使用，边界才完整。

九、边缘安全加速与边缘安全网关用在哪

这是两个容易被混为一谈的产品：边缘安全加速是「平台」，边缘安全网关是「入口」，一个解决快不快，一个解决谁能进、怎么进。

边缘安全加速是近两年被 EdgeOne 这类平台带火的品类：业务接入边缘网络后，静态内容在边缘缓存、动态请求智能路由，四层（TCP/UDP）与七层（HTTP）都覆盖，边缘节点自带 DDoS 清洗与 WAF 能力，部分平台还提供边缘函数做就近计算。适合多地域部署、访问来源分散、动静混合的业务。它与高防 CDN 的分工可以这样记：高防 CDN 主打「网站静态加速加攻防」，边缘安全加速是更大一层的「边缘平台」，覆盖四层流量与非 HTTP 业务。

边缘安全网关解决的是另一个问题：业务系统多了、入口多了，每个入口各配一套策略既贵又乱。网关在入口层统一做路由分发、API 鉴权、限流与访问控制——它不一定让业务更快，但让入口可控、可审计、可统一变更。适合多业务系统、多线路入口、开放 API 多的场景。

选型判断：痛点是「慢、卡、远」选边缘安全加速；痛点是「乱、散、没人管得住入口」选边缘安全网关；两者叠加就是多地域多系统的中大型业务常见的组合——加速平台跑流量，网关管入口。如果业务只有一个地域一个入口，这两者都可以先不买，高防 IP 加 WAF 更直接。

十、源站 IP 泄露的排查与收口

这是高防失效的头号原因。攻击者拿到源站真实 IP，绕过高防直连源站打，你买再多防御峰值都白费。排查五个泄露口：

1. 历史解析记录：域名接入高防前的 A 记录留存在各类 DNS 历史库里，攻击者可以直接查。
2. 证书透明日志：源站如果申请过 HTTPS 证书，证书日志里可能留有源站 IP 与域名的关联。
3. 邮件头：源站服务器对外发信（注册邮件、通知邮件），邮件头里的发件 IP 就是源站。
4. 子域名漏网：主域接了高防，某个测试或老系统的子域名还直连解析，被打的人顺藤摸瓜。
5. 主动探测：全网扫描 IP 段找开放端口，比对响应特征定位源站。

收口动作对应五个字：换、封、清、藏、巡。换源站 IP（云上换弹性 IP 成本低）；封直连（源站防火墙只允许高防回源网段）；清历史（清理对外发信、下线漏网子域名）；藏服务（非必要端口全部关闭）；巡更（定期复查解析与证书日志）。接入高防时这些动作一起做，别等被打第二次。

十一、接入流程与测试清单

规范的接入分五步，每步有验收动作：

1. 免费测试（1–24 小时窗口，以沟通为准）：真实线路跑延迟与兼容性。测试清单至少过六项——首页与静态资源加载、登录与会话保持、支付或短信回调、WebSocket 或长连接、管理后台访问、回源日志确认。
2. 接入配置：高防地址分配、解析切换方案（建议用低 TTL 分批切）、回源线路选择、源站收口动作同步执行。
3. 规则调优：按业务行为配频率限制与人机验证，先观察模式（观察态）再启用拦截（阻断态），误杀工单闭环。
4. 监控值守：接入平台侧 7×24 流量监控，攻击自动牵引清洗；我方同步处置说明与事件记录。
5. 月度复盘：攻击与拦截数据复盘，调整峰值档位与规则，续费跟着数据走。

特别提醒切换时机：解析切换尽量选业务低峰，提前把域名 TTL 调低（300 秒以内），切换后盯着回源监控确认流量全部走清洗层，再观察一小时无异常才算完成。游戏盾类需要动客户端的接入，先在测试环境验证全链路，再随版本发布上线。

十二、境外（免备案）业务的接入

境外节点线路不需要大陆 ICP 备案，接入流程与大陆业务一致，但有三点不同要提前知道。

其一，线路选择：面向大陆用户的境外业务（如港澳台、东南亚游戏）优先选有 CN2 或 CMI 优化线路的节点，普通国际线路的大陆访问延迟与稳定性会明显打折。其二，合规边界：线路免备案不等于业务免合规，业务内容、数据与资金流的合法性与线路无关；我们接入前会核验主体与业务形态，违法业务不接。其三，容灾设计：境外业务建议同时规划大陆备案线路的备用入口（或至少保留快速备案的路径），监管或线路政策变化时有退路。

十三、预算怎么排

结论：预算按「被打压力 → 暴露面 → 潜在损失」排序，先保命再增效。

预算紧张时的取舍建议：先买对档位的基础防护（保命线），把省下的钱投在规则运营与源站收口上——一个调校到位的入门档，效果好过一个没人管的顶配档。被持续针对的业务（游戏、金融）把弹性防御规则谈好，比固定峰值多买两档更划算。

十四、十六个常见问答

1. 「弹性防御」是什么意思？

指超过套餐防御峰值后，临时扩展清洗能力的机制，通常按天或按次计费。适合「平时攻击小、偶尔被大打」的业务，日常按基础档付费，被大打时弹性兜底。签约前确认弹性计费的封顶规则与触发方式。

2. 被打爆了才买来得及吗？

高防 IP 类可以紧急接入，流程通常以小时计（以平台资源与沟通为准），但业务中断期间的损失已经发生。更好的做法是被打之前完成测试接入与预案，被打时切解析就行。打完再买，等于着火了才买灭火器。

3. 高防 IP 和高防服务器该买哪个？

服务器在你的业务逻辑需要直接对外（游戏服、直播推流）时买高防服务器，它自带硬件与带宽；业务在云上或已有服务器、只是入口需要防护时，买高防 IP 更灵活，不用迁移业务。两者也可以组合：入口走高防 IP，核心节点用高防服务器。

4. WebSocket / 长连接业务能走高防吗？

HTTP(S) 类高防对 WebSocket 支持要看具体平台（部分需要单独开启或配置超时参数），TCP/UDP 长连接业务走游戏盾或四层高防更合适。测试窗口里把长连接稳定性列进清单，重连机制与心跳超时逐项过。

5. 小程序后端需要高防吗？

小程序后端本质是 API 服务，有被刷接口与撞库的风险，建议至少配置 WAF 与频率限制；流量型攻击风险取决于暴露面（域名是否公开可扫）。先做一次攻击面评估再定档位，多数小程序业务入门档够用。

6. 攻击者怎么找到源站 IP？

常见五条路：DNS 历史解析记录、证书透明日志、源站对外发信的邮件头、没接高防的子域名、全网端口扫描比对特征。对应的收口动作见第十节「换、封、清、藏、巡」。

7. 免费测试窗口要测什么？

至少六项：静态资源加载与延迟、登录与会话保持、支付或短信回调链路、长连接稳定性、管理后台可达性、回源日志确认。测试报告留档，作为后续切流量的依据。

8. 免费测试和正式接入差在哪？

线路与清洗能力是同一套，差别在 SLA 口径、专属调优与值守安排。测试验证「能不能用、效果如何」，正式接入后的价值在规则持续调优与事件响应，这也是规则运营按月计费的原因。

9. 月付和年付怎么选？

业务稳定、攻击模式清晰的选年付（通常有折扣，顾问服务年框 24000 元对应月框 2000 元的口径也是年付优惠）；业务早期、档位还在试探的先月付，跑两三个月攻击数据后再锁年付档位。

10. 换服务商麻烦吗？

高防 IP 类的迁移成本在解析切换与源站收口规则调整，规范接入（低 TTL、回源白名单）的业务切换半天内可完成；游戏盾类涉及客户端接入方式，迁移要随版本发布走。选型时把「退出成本」也问一句，答不上来的谨慎。

11. 高防会影响 SEO 收录吗？

接入规范（真实源站、正常回源、无拦截误伤爬虫）的情况下不影响；需要留意的是 CC 规则误杀搜索引擎爬虫——频率限制配好后把主流爬虫 UA 加入白名单，并在日志里定期核对爬虫抓取是否正常。

12. 备案变更期间怎么接？

大陆线路在备案变更期间可能面临解析调整，建议境外或高防线路先兜底，备案完成后再切回大陆线路；两套线路的回源配置保持一致，切换时只动解析，不动业务。

13. 攻击日志能拿出来吗？

平台面板提供攻击事件与流量曲线，明细日志按平台口径（留存时长与字段以套餐说明为准）；涉及定损或报案的，可以申请导出事件记录。签约前把日志口径写进合同附件。

14. 一个高防 IP 能带多少域名？

按平台规则与套餐档位而定，通常默认支持多条解析记录，域名数量多的业务（站群、多品牌）可以按规则条数或域名数扩容，扩容费用在报价单里逐项列明。

15. 游戏盾要改客户端吗？

两种方式：有源码走 SDK 集成（改动集中在网络层初始化），无源码做封装处理（不改代码，重打包发布）。PC、Android、iOS、macOS 多端都有对应方式，发版窗口要提前规划。

16. 规则运营和云安全顾问有什么区别？

规则运营管「防护设备本身」：规则配置、误杀处理、攻击复盘，按月托管；云安全顾问管「你的安全决策」：选型判断、架构把关、事件处置建议，指导加落地陪跑，2000 元/月或 24000 元/年。设备多的业务两个都要，设备少的先顾问后运营。

十五、行动清单

把这份指南压成一张可执行的清单，按顺序勾：

1. 盘点入口：列出对外域名、IP、端口与 API，标注哪些已暴露、哪些必须收敛。
2. 查泄露：按第十节五个泄露口自查源站 IP 是否可被定位，先收口再接入。
3. 定档位：按历史攻击或暴露面估算防御峰值与 QPS 档位，确认弹性规则。
4. 选产品：网页类先高防 IP，游戏类加游戏盾，静态多的加高防 CDN，有交易的上 WAF。
5. 走测试：申请免费测试窗口，按六项清单验收，数据留档。
6. 谈运营：把规则调优、误杀处理、月度复盘与值守口径写进合同附件。

想带着这张清单聊具体方案，欢迎联系我们；各产品套餐与价格区间，见套餐价格页。