网站遭受流量攻击，现在的攻击手段对比几年前变化很大。早年攻击直接推送超大流量，带宽耗尽站点就下线。现在攻击者擅长伪装，复刻真实用户访问链路，从商品检索到提交订单完整模拟，模仿爬虫请求头和访问频率，普通拦截规则很难识别。混合攻击更加棘手，TCP反射、HTTP CC、UDP洪水同步发起，单一防护设备很容易被击穿。
先要分清攻击类型，防护方案才能针对性部署。网络层攻击最简单粗暴，UDP洪水、ICMP洪水，伪造大量数据包占满出口带宽。传输层攻击利用协议漏洞，SYN洪水发送大量半开连接，服务器连接表被无效会话填满，正常用户无法完成TCP握手。应用层攻击隐蔽，HTTP洪水、Slowloris，请求报文格式合法，请求量累积之后拖垮数据库和业务代码。反射放大攻击，攻击者伪造目标IP，向DNS、NTP服务器请求数据，服务器回送数十倍流量打到目标，攻击者少量请求就能造成严重影响。
防护核心思路，阻止攻击流量直达源站。实施起来需要搭建分层拦截体系。
最外层部署高防节点，域名解析切换至高防IP，全部公网流量先接入高防机房。高防机房带宽储备充足，清洗能力强，BGP线路牵引攻击流量进入分布式清洗集群，九成网络层攻击在这一步过滤。清洗完成的正常流量转发回源服务器。这套机制就是流量牵引，隐藏源站真实IP，攻击者只能打到高防节点，无法接触后端服务器。
单独部署高防不够。高防主要抵御流量、协议层面攻击，应用层恶意请求依靠WAF处理。WAF解析HTTP请求内容，不只看流量大小。SQL注入、跨站脚本、恶意爬虫扫描，这类攻击流量规模不大，WAF识别请求特征执行拦截。CC攻击模拟用户访问，流量不高但是消耗后端资源，WAF通过Cookie、Referer、访问频率等细粒度指标区分人机。登录接口设置每分钟5次请求阈值，超出触发验证码或是拦截。
高防搭配WAF的串联方案，域名解析指向高防IP，高防转发干净流量到WAF，WAF完成应用层检测，流量最终抵达源站。网络层、应用层两层防护串联，攻击者突破两层防护才能触达源站。
源站加固工作不能省略。很多攻击成功，根源是源站IP泄露。高防配置到位，如果攻击者通过DNS信息、端口扫描拿到真实源IP，直接攻击源站，高防防护失效。源站仅放行高防节点回源IP，其余IP全部拒绝访问。调整服务器TCP参数，开启SYN Cookie，缩短连接超时时间，限制并发连接上限。这些基础配置操作简单，可以提升抗攻击能力。
监控、应急方案提前准备，不要等到遭受攻击才联系服务商。搭建流量基线，掌握业务正常带宽、连接数，指标偏离基线立刻告警。应急预案写明DNS切换负责人、清洗策略调整人员、服务商对接人，攻击发生按预案执行，避免慌乱。
几个常见误区需要厘清。第一，小型网站不会被攻击。实际中小型站点安全投入低，防护薄弱，攻击者低成本就能打停网站，勒索、竞品打压大多选择这类目标。第二，接入CDN就足够安全。普通CDN用于内容分发加速，抗DDoS能力有限，大流量攻击场景CDN节点优先崩溃。第三，部署高防IP就万事大吉，源站不用维护。高防拦截外部流量，源站漏洞、开放端口会被攻击者绕过防护直接利用。
防护策略不能配置完成就永久不变。攻击手法持续迭代，旧规则很快会被绕过。定期更新WAF规则库，根据业务流量调整限速阈值，避免误拦截正常访客。慢速低频请求攻击，没有合理连接超时、并发限制，攻击者依靠长连接占用连接池，攻击流量低但破坏力强。定期压力测试、安全审计，排查防护体系漏洞，比出事之后应急修复成本更低。