中小企业做DDoS防护，预算通常卡在每月几百到两三千元之间，这个区间既买不到运营商级清洗资源，也养不起专职安全团队。真正能落地的方案不是堆设备，而是把流量清洗、资源调度和业务降级三件事组合起来。下面直接拆解预算内最有效的几类做法，以及不同业务形态下的配置优先级。
先判断你真正需要防的是哪种DDoS
很多中小企业一上来就买高防IP，结果发现攻击没防住，钱花了不少。原因是没分清攻击类型。DDoS大致分三类：流量型（UDP Flood、SYN Flood）、连接耗尽型（CC攻击、Slowloris）、应用层漏洞型（HTTP Flood打接口）。流量型靠带宽硬扛，连接耗尽型靠并发连接数和会话管理，应用层型靠WAF规则和行为识别。预算有限时，不可能三类都做到极致，必须先明确业务最怕哪一种。
如果你的业务是App接口或小程序后端，最常见的是CC攻击和应用层HTTP Flood，这类攻击流量不大但能把数据库连接池打满。如果是游戏、直播或下载站，流量型UDP Flood更常见。电商促销期间则往往是混合型。判断清楚后，钱才花得准。
预算内最实用的组合：CDN前置 + 轻量高防 + 本地限流
月预算1000到3000元的中小企业，最合理的架构是三层：CDN做第一层过滤，高防IP或高防CDN做第二层清洗，源站自己做第三层限流和降级。这个组合能把90%的常见攻击挡在业务前面，成本可控。
CDN前置的好处是隐藏源站真实IP，同时利用CDN节点的分布式带宽吸收一部分流量型攻击。国内主流CDN服务商的基础套餐每月几十到几百元，自带一定的DDoS防护能力，但清洗阈值通常不高，遇到大流量攻击会直接回源或黑洞。所以第二层需要接一个高防产品。
轻量高防IP或高防CDN的月付价格在500到2000元之间，清洗能力从几十G到几百G不等。选的时候不要只看标称的防护峰值，要看实际清洗时延和误杀率。有些高防服务为了压成本，清洗规则很粗，正常用户请求也会被拦掉，导致业务转化率下降。建议先买一个月的量做测试，用压测工具模拟攻击，同时观察正常用户访问是否受影响。
第三层是源站自己的限流。Nginx或OpenResty里配置连接数限制、请求速率限制，以及针对特定接口的令牌桶算法。下面给一个Nginx的基础限流配置示例：
http {
limit_conn_zone $binary_remote_addr zone=conn_per_ip:10m;
limit_req_zone $binary_remote_addr zone=req_per_ip:10m rate=50r/s;
server {
location /api/ {
limit_conn conn_per_ip 20;
limit_req zone=req_per_ip burst=100 nodelay;
proxy_pass http://backend;
}
}
}
这段配置限制每个IP对/api/路径的并发连接数为20，请求速率为每秒50次，突发允许100次。对于CC攻击，这个配置能挡掉大部分单IP高频请求。但要注意，如果攻击者使用大量代理IP，单IP限流效果会打折扣，这时候需要配合行为识别。
预算极低时的替代方案：云平台原生防护 + 自动扩容
如果月预算只有几百元甚至更低，买不起商业高防服务，那就利用云平台自带的免费DDoS防护和弹性扩容能力。国内主流云厂商对每个账号提供基础的DDoS防护，清洗阈值一般在5G到20G之间，超过阈值会黑洞处理。这个免费额度对于小规模攻击够用，但遇到大流量攻击会直接断网。
这种情况下，业务架构上要做自动扩容和快速切换。把无状态服务部署在容器或Serverless上，攻击流量上来时自动扩容节点，配合负载均衡分散压力。数据库层做好读写分离和连接池限制，避免被应用层攻击拖垮。同时准备一个备用IP或备用域名，主IP被黑洞时快速切换。这个方案不增加固定成本，但需要一定的运维能力。
自建防护的误区：别在机房里堆硬件防火墙
有些中小企业觉得买一台硬件防火墙放在机房更划算，一次性投入几万元，长期看比租用高防便宜。这个思路在十年前成立，现在基本行不通。原因有两个：一是硬件防火墙的清洗能力受限于机房入口带宽，如果机房总带宽只有1G，攻击流量超过1G时，防火墙再强也没用，上游运营商直接黑洞。二是硬件防火墙的规则更新慢，面对新型应用层攻击和混合攻击，误杀率高，维护成本也不低。
除非你的业务对数据主权要求极高，必须完全自建，否则预算内不要考虑硬件防火墙。把同样的钱花在云高防和CDN上，防护效果和灵活性都更好。
业务降级策略：保住核心交易，牺牲非核心功能
DDoS防护的最后一层是业务降级。攻击发生时，如果清洗能力已经打满，源站压力依然很大，这时候要主动关闭非核心功能，把资源集中给核心交易链路。比如电商网站可以关闭商品评论、推荐位、搜索建议等模块，只保留商品详情和下单支付。社区类产品可以关闭私信、通知、动态流，只保留基础浏览。
这个策略不需要额外花钱，但需要在产品设计阶段就做好开关。把功能模块化，每个模块有独立的降级开关，攻击时一键切换。很多中小企业忽略这一点，攻击来了只能整体挂掉，损失被放大。
具体产品选择建议
预算在每月2000元左右，优先考虑国内头部云厂商的高防IP套餐，基础版通常包含30G到100G的清洗能力，支持TCP/UDP/HTTP多种协议。如果业务主要是Web或API，高防CDN更合适，因为CDN节点本身能分散流量，清洗时延更低。选型时重点看三个指标：清洗时延是否低于100ms、误杀率是否低于1%、是否支持自定义防护规则。
对于月预算500元以下的，先用云平台免费防护加CDN基础套餐，再配合源站限流和业务降级。这个组合防不住大流量攻击，但能应对日常的小规模扫描和CC攻击，至少不会因为一次几百M的攻击就全线崩溃。
容易被忽略的运维细节
DDoS防护不是配置一次就完事。攻击手段在变，防护规则也要跟着调。建议每周检查一次CDN和高防的日志，看是否有新的攻击特征。对于频繁被攻击的接口，可以单独设置更严格的限流规则。另外，源站IP一定要严格保密，只允许CDN和高防的回源IP访问源站，其他IP直接拒绝。这个配置在安全组或防火墙里设置，能有效防止攻击者绕过CDN直接打源站。
还有一个细节是DNS解析的TTL设置。攻击发生时如果需要切换高防线路或备用IP，TTL越短切换越快。建议把TTL设置为300秒以内，平时不影响解析性能，紧急情况下能快速生效。
中小企业做DDoS防护，核心思路是用组合拳代替单点防御，用弹性资源代替固定投入，用业务降级代替硬扛。预算有限时，把钱花在CDN前置和轻量高防上，配合源站限流和运维细节，已经能应对绝大多数实际攻击场景。
