网站卡顿瘫痪大概率是未做好DDoS防护

网站突然打不开、页面加载十几秒没反应、后台登录不进去，很多站长第一反应是服务器配置不够，或者程序代码出了问题。但根据我们长期对大量网站故障案例的排查统计，超过一半的突发性卡顿和瘫痪，根本原因是遭遇了DDoS攻击，而站点本身没有做好任何有效的DDoS防护。这不是危言耸听，DDoS攻击早已不是大企业才会碰到的事，中小网站、电商独立站、游戏站点、SaaS服务甚至个人博客，都已成为攻击者随意扫射的目标。

DDoS（分布式拒绝服务）攻击的原理并不复杂，攻击者控制大量被感染的设备或租用攻击资源，同时向你的服务器发起海量请求。这些请求可能是TCP连接、UDP洪水、HTTP请求、DNS查询等，目的只有一个：耗尽你的带宽、服务器CPU、内存或连接数，让正常用户无法访问。很多站长直到服务器完全瘫痪，登录SSH都卡死，才意识到不是代码问题，而是被攻击了。

最典型的场景是：网站平时访问速度正常，突然某个时间段开始变慢，接着出现大量超时、502、504错误，服务器资源占用飙升，重启后短暂恢复，但几分钟后又陷入瘫痪。如果你遇到这种情况，基本可以判定是DDoS攻击。还有一种更隐蔽的情况是攻击流量并不大，但专门打你网站最消耗资源的接口，比如搜索功能、数据库查询、登录验证、验证码刷新等，这种CC攻击（DDoS的一种应用层变种）会让服务器一直处于高负载状态，表面看是网站程序优化差，实际上是被人恶意消耗资源。

要解决DDoS问题，首先得知道攻击长什么样。最常见的攻击类型包括：SYN Flood，攻击者发送大量伪造源IP的TCP握手请求，服务器分配资源等待握手完成，结果资源被占满；UDP Flood，利用无连接协议向随机端口发送大量数据包，耗尽带宽和防火墙处理能力；HTTP Flood，模拟真实用户不断请求你的网页，尤其是动态页面，让后端应用和数据库崩溃；DNS Query Flood，攻击你的域名解析服务器，导致域名无法解析，网站直接“消失”；还有NTP、SSDP等反射放大攻击，利用互联网上开放的服务把流量放大几十倍打到你的服务器上。

从攻击特征来看，如果你在服务器上用netstat命令看到大量SYN_RECV状态连接，或者某个源IP段发起异常密集的连接请求，又或者服务器带宽监控显示入站流量瞬间拉满但网站访问量并没有明显增长，这些都是典型的DDoS攻击信号。很多站长不习惯看监控数据，等到用户投诉才去查，往往已经错过了最佳处置时间。

一个很现实的原因是认知偏差。大量中小站长认为自己的网站规模小、知名度低，不会被攻击者盯上。但现在的DDoS攻击早已产业化，攻击成本极低，几十块钱就能在黑色产业链上买到一次攻击服务。攻击者往往不是针对某个具体网站，而是批量扫描网段，随机选择目标进行敲诈勒索或者单纯测试攻击工具。很多被攻击的网站，站长自己都不知道为什么被打。

另一个原因是技术上的侥幸心理。有些人觉得装了防火墙、开了安全组、设置了限速就够了。实际上，普通的软件防火墙和iptables规则在遇到大流量DDoS时基本无效，因为攻击流量在到达你的服务器之前，已经把你机房入口的带宽占满了。你的服务器就算配置再高，带宽被堵死，正常用户的请求根本进不来。还有的人依赖云服务商默认提供的基础防护，但默认防护通常只有几个Gbps的清洗能力，遇到几十G甚至上百G的攻击，直接黑洞路由，服务器被断网保护，网站照样瘫痪。

真正有效的DDoS防护，核心思路是把攻击流量挡在离你服务器更远的地方，而不是等流量打到服务器上再处理。分层防御是目前最成熟的方案。第一层是运营商级别的流量清洗，也就是你的服务器所在机房或云服务商提供的抗DDoS清洗服务，攻击流量先进入清洗中心，识别并过滤掉恶意流量，只把正常流量回注到你的服务器。第二层是CDN和边缘节点的防护，把网站接入高防CDN，用户访问的是CDN节点，攻击流量被分散到各个节点上，源站IP不暴露，攻击者很难直接打到源站。第三层是应用层防护，在服务器前端部署WAF（Web应用防火墙），针对HTTP Flood、CC攻击、SQL注入等应用层攻击进行精细化过滤。

如果你的网站还没有接入任何前置清洗服务，现在最紧急的事情就是把源站IP隐藏起来。很多网站被打，就是因为源站IP直接暴露在公网上，攻击者一查DNS记录或者直接扫描IP段就能找到你的服务器。接入高防CDN后，域名解析指向CDN的CNAME，用户访问的是CDN节点，CDN再回源到你的服务器。源站服务器只允许CDN节点的IP访问，其他所有IP直接拒绝。这样即使攻击者知道你的域名，也只能打到CDN上，而CDN的带宽和清洗能力远大于你的单台服务器。

选择防护方案要根据网站的业务类型、流量规模、预算和攻击风险来定。如果你的网站是静态内容为主，比如企业官网、博客、展示页，最经济的方案是接入高防CDN。市面上很多CDN服务商提供基础DDoS防护，免费或低价套餐就能抵御常见的几Gbps攻击。但要注意，免费套餐的防护能力有限，遇到大流量攻击还是会回源或者直接拦截，而且免费CDN的节点质量参差不齐，可能影响正常访问速度。

如果你的网站是电商、游戏、金融、SaaS等对可用性要求极高的业务，建议购买专业的高防IP服务。高防IP是云服务商提供的独立防护IP，攻击流量先经过高防机房清洗，再转发到你的源站。高防IP的防护能力从几十G到数百G不等，按带宽和防护峰值计费。选择高防IP时，要关注清洗延迟、回源链路稳定性、是否支持HTTPS、是否支持非HTTP业务（比如游戏TCP/UDP协议）等细节。有些高防IP只支持HTTP/HTTPS，如果你的业务有TCP长连接或者UDP协议，需要选择支持四层防护的高防产品。

对于预算充足且攻击频繁的站点，可以考虑混合方案：高防CDN负责HTTP/HTTPS流量分发和清洗，高防IP负责源站兜底，同时配合WAF做应用层过滤。这种架构下，即使CDN节点被打垮，高防IP还能继续清洗，源站始终处于多层保护之后。另外，源站服务器本身也要做好基础安全加固，比如关闭不必要的端口、限制SSH登录IP、开启内核参数优化、使用nginx或haproxy做连接数限制和超时控制。

即使有前置清洗，服务器端的一些配置也能在攻击发生时争取时间，减少源站压力。Linux系统下，可以通过sysctl调整内核参数来缓解SYN Flood攻击。以下是一段常用的内核参数优化配置：

net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_syn_retries = 2
net.ipv4.tcp_synack_retries = 2
net.ipv4.tcp_max_syn_backlog = 4096
net.ipv4.tcp_abort_on_overflow = 1
net.ipv4.tcp_tw_reuse = 1
net.ipv4.tcp_tw_recycle = 0
net.ipv4.tcp_fin_timeout = 30
net.ipv4.tcp_keepalive_time = 1200
net.ipv4.ip_local_port_range = 1024 65000
net.ipv4.tcp_max_tw_buckets = 5000
net.ipv4.tcp_rmem = 4096 87380 16777216
net.ipv4.tcp_wmem = 4096 65536 16777216
net.ipv4.tcp_mtu_probing = 1

这些参数的作用是启用SYN Cookie机制，在SYN队列满时不再直接丢弃新连接，而是通过计算Cookie来验证客户端真实性，减少伪造SYN包对资源的消耗。同时降低SYN重试次数，让半开连接更快释放。需要注意的是，内核参数优化只能缓解小规模攻击，遇到大流量攻击还是得靠前置清洗。

在nginx层面，可以通过limit_conn和limit_req模块限制单个IP的连接数和请求速率，防止CC攻击把后端应用拖垮。配置示例如下：

http {
    limit_conn_zone $binary_remote_addr zone=conn_perip:10m;
    limit_req_zone $binary_remote_addr zone=req_perip:10m rate=10r/s;

    server {
        location / {
            limit_conn conn_perip 20;
            limit_req zone=req_perip burst=20 nodelay;
            proxy_pass http://backend;
        }
    }
}

这段配置限制了每个IP最多20个并发连接，请求速率每秒10个，突发允许20个。对于正常用户来说足够使用，但对于CC攻击的僵尸网络，能有效过滤掉大部分恶意请求。需要注意的是，如果网站有大量静态资源，建议把静态资源放到CDN上，源站只处理动态请求，这样能大幅减少源站压力。

如果网站正在遭受DDoS攻击，不要慌张，按照以下步骤处理。第一步，确认攻击类型和规模。登录云服务商控制台查看流量监控和DDoS防护记录，确认是带宽型攻击还是应用层攻击，攻击峰值大概多少。第二步，如果已经接入高防服务，检查高防是否正常工作，清洗是否生效。如果高防没有生效，检查域名解析是否指向高防IP或CDN，源站IP是否泄露。第三步，如果源站IP已经暴露并且被打到黑洞，立即更换源站IP，同时更新安全组规则，只允许高防节点回源。第四步，临时启用服务器端的限流和内核优化配置，减轻源站压力。第五步，分析攻击日志，找出攻击特征，比如攻击源IP段、攻击请求的URL、User-Agent特征等，在高防或WAF上设置针对性过滤规则。

很多站长在攻击发生后只想着重启服务器，结果重启后攻击流量还在，服务器又立刻被打挂。正确的做法是先把防护前置，再处理源站。如果源站IP已经进入黑洞状态，通常需要等待黑洞解除，或者直接更换IP。更换IP后一定要做好源站隐藏，否则攻击者会再次扫描到新IP。

DDoS防护不是一次性配置就完事了，需要长期维护。建议建立监控告警机制，对服务器的带宽、连接数、CPU、内存等指标设置阈值告警，一旦出现异常流量立即通知运维人员。同时定期进行攻击演练，模拟不同规模的DDoS攻击，检验防护方案是否有效，清洗延迟是否在可接受范围内，回源链路是否稳定。很多网站平时看起来防护到位，真遇到攻击时才发现高防服务配置错误、回源白名单没设置好、CDN缓存策略不合理等问题。

另外，数据备份和业务降级方案也很重要。如果攻击规模超过防护能力，服务器被黑洞，至少要有备用方案，比如临时切换到静态页面、启用备用服务器、通过其他域名或IP提供服务。对于电商和金融类业务，每一分钟的宕机都意味着直接的经济损失，提前准备好应急预案能大幅缩短恢复时间。

最后要强调的是，DDoS防护是一个体系工程，不是买一个高防IP就能高枕无忧。从源站隐藏、前置清洗、应用层过滤、服务器加固到监控应急，每一层都需要配置到位。很多网站之所以被打瘫痪，就是因为只做了其中一两项，攻击者稍微换个打法就防不住。把DDoS防护当成网站上线前的必要环节，而不是出了问题再补救，这才是正确的做法。