硬防护这个词，IDC销售口中出现频率很高，但细问具体定义，回答往往含糊不清。有人说就是机房帮你抵挡攻击，有人说是硬件防火墙，还有人简单概括成比软防更强。这些说法都只说对一半，拼在一起依旧讲不透硬防到底强在哪。
硬防护里的“硬”，代表它运行在专用硬件设备上，不会占用服务器本身CPU和内存。一台独立硬件防火墙部署在机房核心交换机与你的服务器之间，所有进出流量先经过这台设备过滤，合法流量放行，恶意数据包丢弃。你的服务器全程感知不到攻击流量。软防护是另一套逻辑，安装在服务器操作系统内部，iptables、WAF、fail2ban都属于这类，本质是软件程序，消耗本机CPU资源。攻击流量先抵达服务器，软防逐个解析数据包，判断是否拦截。这个过程占用服务器资源，攻击流量大的时候，软防本身就会把CPU占满，正常请求反而无法进入。
两者最直观的差距体现在对抗大流量攻击的表现。硬防清洗设备自带几十G到几百G独立带宽与处理能力，攻击流量在抵达服务器前就分流到清洗中心过滤，服务器不会承受压力。软防面对100Gbps以上洪水攻击基本无力抵抗，服务器网卡和上行链路先被打满，数据包根本抵达不了操作系统，iptables规则写得再好也不起作用。不是软防性能不足，是物理层面存在上限，网卡吞吐量固定，超出上限直接丢包，和软件实现好坏无关。
硬防和软防成本结构完全不同。软防几乎没有额外开销，iptables系统自带，WAF可以选用开源ModSecurity，fail2ban免费可用。硬防月费一般包含在机房托管费用中，单机100G防御的服务器月费相比普通机器贵一千到两千元，300G以上防护价格直接翻倍。部分机房单独拆分硬防收费，购买多少防护额度付多少钱，不购买就没有防护。这也是很多低价服务器标注“含防护”，实际只附带10G或者20G基础防护，超过阈值直接触发黑洞的原因。
但硬防存在一个软防没有的短板：区分正常请求和恶意请求的精细度有限。硬防主要依靠流量特征——数据包大小、发包频率、协议类型、来源IP信誉值判断，这套机制应对DDoS流量攻击效果很好，但识别CC攻击能力偏弱。CC攻击每个请求看起来都和普通用户访问一致，硬防很难依靠流量特征区分真实访问与恶意请求，慢速CC场景下，单个请求数十秒才发送完毕，硬防速率检测根本无法触发。软防在这个场景更占优势，WAF可以校验HTTP头、Cookie、User-Agent、访问频率等应用层细节，精准识别异常行为。
实际部署场景里，硬防、软防一般搭配使用，不是二选一。硬防负责抵御L3/L4大流量洪水，过滤绝大多数恶意流量，剩下漏网流量，主要是L7层CC攻击，交给服务器内部软防处理。硬防相当于外围城墙，软防是城内巡逻人员。城墙挡不住的攻击，依靠巡逻识别拦截。
还有一组容易混淆的概念：高防IP和硬防。高防IP本质属于引流清洗，平时流量走常规线路，检测到攻击之后，依靠DNS或者BGP路由把流量调度至高防节点清洗，清洗完成再回源。和硬防的差别在于，清洗设备不是常驻在服务器和交换机之间，属于按需调用。这种模式对业务中断容忍度要求更高，从检测攻击到完成引流切换，通常有数秒到数十秒延迟，游戏或者实时交易业务，在这个切换窗口会出现掉线。硬防是常驻部署，攻击到来直接过滤，不存在切换过程。
挑选硬防的时候，有几个问题必须确认清楚。第一，防护是单机独享还是共享资源池。单机独享，代表你购买的100G防护只供本机使用，隔壁机器遭受200G攻击，只要不超出机房出口带宽，你的防护能力不受影响。共享池是全部机器共用清洗设备，某台机器遭遇大规模攻击，防护资源优先分配给被攻击实例，其余机器防护能力临时下降。第二，超出防护额度之后如何处置。是直接黑洞封IP，超额流量按量计费持续清洗，还是自动弹性提升防护等级。黑洞是最常见处理方式，对业务影响最大，攻击者只要打出超出防护阈值的流量，就能直接断网，哪怕仅仅超出1G。第三，清洗完成后的回源线路。部分高防清洗能力达标，但清洗后回源走普通163骨干，攻击成功抵御，正常用户访问速度反而比攻击之前更慢。
硬防和软防的关系，一句话总结：硬防决定你能扛住多大攻击而不彻底断网，软防决定遭受攻击期间，正常用户能否继续访问业务。二者缺一不可。只部署硬防不配置软防，CC攻击可以打满登录接口，硬防无法干预。只配置软防没有硬防，一次10G UDP洪水就能触发服务器黑洞，软防连启动的机会都没有。