DDoS/CC 攻击下高防不顶用？防护模式与阈值调优教程

做运维、做网站开发的兄弟，估计都遇到过这种糟心事儿：花不少钱装了高防服务，结果遇到DDoS/CC攻击时，网站还是卡得打不开、丢包严重，甚至直接宕机，难免怀疑自己是不是买了个"假高防"。其实大多时候，不是高防没用，而是我们没搞懂它的防护模式，阈值也没调好------高防就像一把精密的锁，选对模式、调对参数，才能真正挡住攻击；要是瞎设置，它就跟"摆设"没区别。

今天就结合我实战踩过的坑，跟大家分享一套能直接上手的防护模式选择+阈值调优技巧，全程干货不玩虚的，最后也会提一下我现在在用、觉得不错的辅助防护方案，供大家参考（不是硬广，纯实战经验分享）。

一、先搞懂：高防"不顶用"，问题出在哪？

很多人觉得，装了高防就一劳永逸了，部署完就不管不问，遇到攻击失效，第一反应就是"高防不行"。但实际排查下来，80%的问题都出在两点：一是防护模式选错了，二是阈值设置不合理，再加上有时候源站IP暴露这种小细节没注意，才导致高防没发挥出作用。

先跟大家说两个最常见的坑，大家尽量避开：

1. 防护模式"一刀切"：比如一直把高防设为"严格模式"，平时正常访问没问题，可一旦遇到正常的流量高峰（比如搞活动引流），就会误拦正常用户；反过来，一直用"宽松模式"，遇到伪装得比较像的CC攻击，高防反应不过来，攻击流量直接就打到源站了。

2. 阈值设置"凭感觉"：要么把阈值设得太高，小规模的DDoS/CC攻击来了，高防不启动清洗，直接被攻击打垮源站；要么设得太低，正常用户高频访问（比如电商大促时用户频繁刷新商品页），被误判成攻击，导致用户进不来，反而得不偿失。

还有一个容易被忽略的点：就算高防配置没问题，要是你的域名曾直接暴露、闲置的二级域名没关掉，或者HTTPS证书泄露了源站IP，攻击者就能绕过高防，直接攻击源站------这时候再怎么调优高防，效果也会大打折扣。

二、核心干货：防护模式选择技巧（分场景，直接对号入座）

目前市面上主流的高防，基本就3种防护模式：宽松模式、正常模式、严格模式，部分高防还支持自定义模式。不同业务场景，对应不同的模式，千万别混着用，下面结合大家常遇到的业务场景，跟大家说清楚怎么选最靠谱。

1. 宽松模式：适合攻击少、看重访问流畅度的场景

适用场景：个人博客、小型企业官网、非盈利站点，平时几乎不会遇到攻击，核心需求就是保证正常访问流畅，别误拦用户。

配置要点：关掉那些没必要的清洗规则，只保留最核心的DDoS攻击（比如SYN Flood、UDP反射攻击）拦截，CC攻击只拦那些一眼就能看出来的恶意请求（比如同一个IP每秒请求超过100次）。

注意：这种模式下，高防"敏感度"很低，遇到小规模CC攻击（比如同一个IP每秒请求50次），可能不会启动防护。只适合确实没什么攻击风险的站点，要是有零星攻击，赶紧切换模式。

2. 正常模式：适合常规业务、有零星攻击的场景

适用场景：中小型电商、企业后台、APP接口，平时会遇到少量DDoS/CC攻击，既要挡住攻击，又不能影响正常用户访问（比如用户频繁刷新页面、调用API）。

配置要点：开启基础的流量清洗，CC攻击的拦截阈值设为中等，打开高防自带的"智能识别"功能------它能自动区分正常请求和恶意请求，比如识别爬虫、恶意浏览器标识（UA），放行正常用户的高频访问。

给大家一个实操参考：正常模式下，可把同一个IP每秒请求阈值设为30-50次，超过这个阈值后，先弹出验证码（别直接拦截），这样既能挡住恶意攻击，又不会误拦正常用户。

3. 严格模式：适合攻击多、核心业务的场景

适用场景：电商大促、游戏服务器、金融接口、政务平台，这类场景很容易成为攻击目标，而且攻击强度大，甚至会遇到伪装成正常用户的CC攻击（比如用真实IP、不断变换请求参数），核心需求就是"先挡住攻击"，哪怕牺牲一点访问体验也没关系。

配置要点：开启全部流量清洗，打开AI智能防护引擎（它会通过海量攻击案例自动学习，调整防护策略），把CC攻击的拦截阈值调严，同时开启"IP信誉库"，直接封禁那些已知的恶意IP段。

注意：严格模式下，可能会误拦部分正常请求（比如异地多IP访问、频繁刷新的用户），建议搭配白名单功能，把公司办公IP、合作伙伴IP这些可信的IP加进去，避免误拦。

4. 自定义模式：适合业务复杂的情况（进阶用法）

如果你的业务比较复杂（比如既有静态页面，又有核心API接口），可以用自定义模式，针对不同的业务路径，设置不同的防护规则：

• 静态页面（比如首页、资讯页）：用宽松模式，降低清洗强度，保证访问速度；

• 核心接口（比如登录、支付、数据查询接口）：用严格模式，调严CC攻击阈值，打开验证码、人机验证，避免攻击耗尽数据库和服务器资源；

• 可以根据业务日志，统计正常访问的QPS、并发连接数，针对性设置规则，比如给登录页单独设"同一个IP每分钟请求不超过60次"。

三、关键步骤：阈值调优（核心中的核心，直接照搬就行）

阈值调优是高防能发挥作用的关键，核心原则很简单：阈值比正常业务的流量峰值稍高一点，既保证能挡住攻击，又不影响正常访问，不浪费高防资源，也不遗漏攻击。下面分DDoS阈值和CC阈值，给大家讲具体的调优方法，结合实操案例，新手也能看明白。

1. 先做准备：统计正常业务的流量基线

调优之前，必须先搞清楚自己业务的正常流量情况，不然阈值设置就是"凭感觉"，很容易出错。可以通过高防控制台的监控报表、日志服务（比如SLS），统计3-7天的正常流量数据，重点关注3个指标：

• QPS（每秒查询数）：正常访问的最高值是多少，比如平时最高200QPS，大促时可能达到500QPS；

• 并发连接数：正常情况下，服务器同时能处理的连接数最高值；

• 单一IP访问频率：正常用户一个IP，每秒/每分钟会请求多少次，比如普通用户浏览页面，每秒请求不会超过5次。

统计完这些数据，再以此为基础设置阈值，就不会盲目了。这里补充2个主流高防控制台的简易操作步骤（新手友好，不用记复杂路径）：

1. 阿里云高防：登录阿里云控制台→找到"云安全中心"→进入"高防IP"→左侧"防护配置"→"流量基线统计"，能直接查看近7天的QPS、并发连接数等数据，不用手动导出统计；

2. 腾讯云高防：登录腾讯云控制台→"安全"→"高防IP"→"监控报表"→"流量分析"，勾选"正常流量"，就能筛选出3-7天的流量峰值，一键导出数据更方便。

2. DDoS攻击阈值调优（按攻击类型来）

DDoS攻击主要分两种：网络层攻击（比如SYN Flood、UDP Flood）和应用层攻击，阈值设置重点看"带宽阈值"和"报文阈值"，很简单：

• 带宽阈值：根据自己的服务器带宽和高防防护带宽来设，比如服务器带宽是100M，高防防护带宽是1000M，那带宽阈值就设为80M（比服务器带宽峰值稍低），一旦攻击流量超过80M，高防就会启动清洗，避免服务器带宽被打满；

• 报文阈值（PPS）：正常业务的报文峰值一般在1000-5000PPS，阈值设为正常峰值的1.2-1.5倍就行，比如正常峰值是3000PPS，阈值就设为4000PPS，超过这个数就启动清洗；

注意：如果高防支持"弹性防护带宽"，一定要打开。这样遇到超大规模DDoS攻击（超过保底带宽）时，会自动调用更高的防护带宽，避免触发"黑洞机制"（也就是临时阻断所有通信，网站彻底打不开）。

补充：DDoS调优后还是被攻击穿透？3步快速排查：① 看高防控制台的"清洗日志"，确认是网络层还是应用层攻击，要是应用层攻击，就同步调严CC阈值；② 检查弹性防护带宽有没有打开，没打开就赶紧打开，避免黑洞；③ 排查源站IP是不是暴露了，要是暴露了，先暂停域名直接解析，改成高防IP解析。

3. CC攻击阈值调优（分场景设置，最容易踩坑）

CC攻击是应用层攻击，主要针对服务器的CPU、内存、数据库连接池，阈值设置比DDoS更精细，建议按"IP维度"和"URL维度"分别设置，更精准。

（1）IP维度阈值（最基础，所有人都要设）：

• 普通场景（比如官网、资讯站）：同一个IP每秒请求阈值设为10-20次，每分钟不超过100次；

• 高频访问场景（比如电商商品页、API接口）：同一个IP每秒请求阈值设为30-50次，每分钟不超过300次；

• 高风险场景（比如登录页、支付接口）：同一个IP每秒请求阈值设为5-10次，每分钟不超过60次，超过后弹出验证码，或者临时封禁10-30分钟。

（2）URL维度阈值（进阶，针对核心页面）：

对于网站里最消耗资源的页面（比如登录页、搜索页、支付接口），单独设置阈值，比全局阈值更严格，避免被攻击打垮：

• 登录页：同一个IP每分钟请求不超过10次，防止暴力破解+CC攻击；

• 搜索接口：同一个IP每秒请求不超过5次，避免恶意搜索耗尽服务器资源；

• 静态资源（图片、CSS、JS）：可以适当放宽，同一个IP每秒请求不超过50次，不影响正常加载。

这里补充「不同规模业务阈值参考表」，大家可以直接对号入座，不用自己反复推算（都是实战验证过的，直接照搬就行）：

|----------------|-----------------|-------------|------------|----------|
| 业务规模 | 核心场景 | QPS正常峰值 | 单一IP每秒请求阈值 | 登录页每分钟阈值 |
| 个人/小型站点（如个人博客） | 资讯展示、无高频交互 | 50-100QPS | 10-15次 | 不超过30次 |
| 中小型电商/企业官网 | 商品浏览、普通登录、简单API | 100-500QPS | 20-30次 | 不超过60次 |
| 中大型平台（电商大促、游戏） | 高频下单、登录、核心API | 500-2000QPS | 30-50次 | 不超过10次 |

4. 调优后测试：避免误拦和漏拦

阈值设置完，一定要做测试，别等真实攻击来了才发现问题------要么正常用户进不来，要么攻击挡不住，那就麻烦了。测试分3步，很简单：

• 模拟正常访问：用多个IP，模拟用户高频访问（比如每秒刷新10次），看看会不会被误拦；

• 模拟攻击：用工具模拟小规模DDoS/CC攻击（注意要合规，只能在自己的服务器上测试），看看高防能不能正常启动防护，攻击能不能被拦截；

• 持续监控：调优后，连续观察1-3天，根据日志调整阈值------要是发现正常用户被误拦，就稍微提高一点阈值；要是攻击没被拦住，就稍微降低一点阈值。

分享2个我实战踩过的真实坑，帮大家少走弯路：

案例1：我曾给一家中小型电商调优，一开始把CC阈值设成5次/秒（太严了），结果大促的时候，用户频繁刷新商品页，全被误拦了，订单量直接下滑。后来改成25次/秒，再加上弹出验证码，既挡住了恶意攻击，又没影响正常用户，问题直接解决。

案例2：有个企业官网，调优高防后还是频繁卡顿，排查了半天，发现是闲置的二级域名没关掉，导致源站IP暴露了，攻击者绕过高防直接攻击。关掉闲置域名、把域名重新解析到高防IP后，卡顿问题彻底解决------这也是很多人容易忽略的小细节。

补充：CC调优后误拦正常用户？2个快速解决方法：① 临时把被误拦的用户IP加到高防白名单里（控制台"白名单管理"直接加，马上生效）；② 暂时把防护模式从严格改成正常，同时微调一下阈值，观察1-2小时再恢复。

四、辅助方案：CDN+高防，双重防护更稳妥

很多时候，高防不顶用，不是高防本身不行，而是攻击太强，或者攻击方式太隐蔽，单靠高防很难完全挡住。这时候搭配CDN服务，形成"CDN+高防"的双重防护，效果会好很多------CDN能分散攻击流量，隐藏源站IP，提前拦住一部分恶意请求，减轻高防的压力。

我现在在用的是360CDN，当初选它，主要是看中它的防护能力和兼容性，不是硬广，纯粹是实战用下来觉得好用，跟大家分享下我的使用体验：

1. 防护能力够硬：360CDN内置T级流量清洗节点，支持DDoS/CC攻击防护，能提前拦住大部分恶意流量，还能和高防联动------要是攻击流量超过CDN的防护上限，会自动转到高防二次清洗，不会让攻击打到源站。它的AI行为分析功能，能精准识别伪装成正常用户的CC攻击，误拦率很低，这一点比我之前用的某款CDN好用多了。

2. 配置简单，新手也能上手：不用复杂操作，接入后就能沿用之前的高防配置，还支持自定义防护规则，能根据我的业务场景（电商接口+静态页面），针对性设置阈值和防护模式，不用花太多时间研究。

3. 既防护又加速：除了防护，它的加速效果也不错，能缓存静态资源，减少源站的压力，同时还能隐藏源站IP，从根源上减少被攻击的可能，解决了之前源站IP暴露导致高防失效的问题。

当然，大家也可以根据自己的预算和业务需求，选其他CDN服务，核心是要选"防护+加速"一体的，别选那种只负责加速、不负责防护的，不然遇到攻击还是没用。

补充2个靠谱的辅助工具（纯实战推荐，按需选）：

1. 日志分析工具：ELK Stack（免费开源），适合有一定技术基础的兄弟，能快速统计流量基线、排查误拦/漏拦的原因，搭配高防控制台用，调优会更精准；新手不用麻烦，先用高防自带的日志分析功能就行，不用额外部署。

2. 攻击模拟工具：Hping3（一定要合规使用），只能在自己的服务器上测试，能模拟小规模CC/DDoS攻击，测试调优后的防护效果，避免真实攻击时掉链子（重点提醒：严禁用于他人服务器，违规要承担法律责任）。

补充：源站IP暴露后，3步快速补救：① 赶紧更换源站IP，暂停原来IP的解析；② 关掉所有闲置的二级域名、泛域名，避免通过这些域名泄露新IP；③ 重新配置HTTPS证书，防止证书泄露IP，同时把所有域名解析都改成高防/CDN IP。

五、实战总结（避坑重点，记牢就行）

1. 高防不顶用，90%是模式选错、阈值设错，先统计业务流量基线，再针对性调优，别凭感觉来；

2. 防护模式不是固定不变的，要根据攻击情况灵活切换（比如大促时切严格模式，平时切正常模式）；

3. CC阈值调优要"分维度"，IP维度和URL维度结合，核心接口严一点，静态资源松一点；

4. 单靠高防不够，搭配CDN形成双重防护，隐藏源站IP、分散攻击流量，防护效果会大幅提升；

5. 调优后一定要测试，持续监控日志，根据实际情况调整，没有一劳永逸的配置。

最后，希望这篇教程能帮到正在被DDoS/CC攻击困扰的兄弟，大家如果有其他调优技巧，或者用过其他好用的防护工具，欢迎在评论区交流，一起避坑，守住自己的服务器！