服务器遭受几次攻击之后，才会认真考虑服务器防护这件事。没遇到攻击的时候，只保证服务器正常运行、带宽充足就满足需求。真正遭受攻击，流量曲线飙升，业务中断十几分钟，才回头翻看合同，确认自己购买的防护能力。
市面上DDoS相关防护产品名称很多，高防服务器、高防IP、DDoS清洗，经常被混在一起称呼，但各自解决的问题不一样。DDoS清洗核心是区分异常流量和正常流量，攻击流量在入口直接丢弃，正常请求转发回源服务器。高防IP让用户访问清洗中心，流量清洗完成之后，通过隧道将干净流量传回源站，源站真实IP可以隐藏。高防服务器，就是服务器部署在自带防护能力的机房，攻击流量到达机房入口就被拦截，不需要转发到外部清洗中心。
选择哪一种防护方案，和业务类型直接相关。如果业务以网站为主，只有HTTP、HTTPS流量，高防IP搭配现有服务器就够用，修改DNS解析就能上线，部署速度快。但业务包含UDP端口，例如游戏对战、语音通话、视频推流场景，高防IP无法覆盖，它主要处理HTTP流量。这类场景适合高防服务器，支持全端口全协议防护，清洗操作在本地机房完成，延迟低于转发至外部清洗中心。电商独立站，黑五或者大促期间遭遇CC攻击刷接口，高防IP搭配WAF策略就可以防护；游戏或者直播业务，UDP端口被攻击，CDN无法拦截，只能迁移服务器到高防机房。
选型最容易踩的坑，是只看宣传页面标注的最大防护数值。商家标注T级防御，看着防护充足，签约后遭遇攻击，才发现合同小字写明单IP保底30G，超出阈值触发黑洞。黑洞代表攻击流量超过套餐阈值，机房设备直接把IP从路由表移除，所有流量，包含正常用户访问全部丢弃。有人购买100G套餐，遭遇110G攻击，以为会弹性防护或者限速，结果IP被屏蔽半小时。签约前确认一件事：这个高防IP单节点最大防护上限，超过上限之后，是持续清洗还是直接触发黑洞。这个指标，比宣传页整体防护带宽更重要。
清洗能力不能只用一个峰值数字衡量。同样标称100G防护，部分服务商可以持续清洗三十分钟不降级，有的只能承受五分钟瞬时峰值。攻击持续时间通常不止五分钟。还有一个容易忽略指标是误封机制。B2B网站有固定客户IP、支付网关回调地址、合作方API接口，这类流量如果被清洗算法误判成攻击，正常业务直接中断。是否支持IP白名单，误封之后申诉恢复时长，在实际运营中，比峰值防护数值更影响业务体验。
费用方面，标价只是基础开销。带宽超额费用、攻击流量清洗费是两类常见隐性支出。部分按流量计费服务商，清洗拦截的攻击流量也计入账单，攻击越猛烈，月底账单越高。签约前确认计费口径：被清洗丢弃的攻击流量是否计费，带宽超出部分按什么单价结算。另外不要直接选购最高规格套餐。中小型官网平时攻击峰值可能只有几个G，直接购买T级防护，每月成本大幅上涨，防护资源闲置。更务实的做法，参考过去数月实际攻击峰值，选择够用档位；大促或者预估会遭受攻击的时候，临时升级弹性防护，平时节省的预算足够应对多次攻击。
防护上线之后，还有两件事容易被忽略。一是源站IP隐藏。使用高防IP方案，如果源站真实IP泄露，攻击者会直接攻击源站，绕开清洗节点。需要在防火墙设置，仅允许高防节点IP段访问源站端口。二是WAF策略配置。高防服务器主要抵御大流量层冲击，SQL注入、恶意扫描、异常请求这类应用层攻击，依靠WAF拦截。购买高防不等于拥有完整防护，两层防护各司其职，配置到位才能形成完整防御体系。