防止 DDoS（分布式拒绝服务）攻击是一个系统工程，没有单一的“银弹”解决方案，有效的防护策略通常采用“纵深防御”（Defense in Depth）的理念，结合网络层、应用层以及外部服务进行综合防护。
以下是从基础到高级的完整防护指南：
使用专业的 DDoS 防护服务（最有效手段）
对于大多数企业和应用，依靠自身服务器硬抗 DDoS 攻击是不现实的,建议接入第三方清洗服务。
- CDN（内容分发网络）：
- 原理：将流量分散到全球各地的边缘节点，隐藏源站 IP，即使某个节点受到攻击,其他节点仍可正常工作。
- 推荐：Cloudflare, Akamai, 简米云 CDN, 酷番云 CDN 等。
- 高防 IP / DDoS 高防包：
- 原理：将流量先引流到防护中心进行清洗（过滤恶意流量）,再将正常流量回源到服务器。
- 适用：针对大型流量攻击（如 Tbps 级别）。
- WAF（Web 应用防火墙）：
- 原理：虽然 WAF 主要防御应用层攻击（如 SQL 注入、XSS），但现代 WAF 通常也具备应用层 DDoS 防护能力（如 CC 攻击防护），可以限制单个 IP 的请求频率。
网络层防护策略
A. 隐藏源站 IP
- 不要直接暴露服务器 IP：确保你的服务器 IP 没有直接暴露在公网 DNS 记录中。
- 使用 CNAME 记录：通过 CDN 或高防 IP 接入时，使用 CNAME 解析，避免直接 A 记录指向源站。
- 定期更换 IP：如果可能，定期更换服务器 IP，并更新 DNS 缓存时间。
B. 配置防火墙规则
- 限制入站流量：只开放必要的端口（如 80, 443）,关闭所有不需要的端口。
- IP 黑白名单：
- 如果业务面向特定地区，可限制只允许特定国家/地区的 IP 访问。
- 将已知的恶意 IP 加入黑名单。
- SYN Cookie：在 Linux 服务器上启用 SYN Cookie 功能，缓解 SYN Flood 攻击。
# 临时启用 sysctl -w net.ipv4.tcp_syncookies=1 # 永久生效，编辑 /etc/sysctl.conf net.ipv4.tcp_syncookies = 1
C. 带宽扩容与弹性伸缩
- 预留带宽余量：确保你的带宽有至少 2-3 倍的余量,以应对突发流量。
- 弹性伸缩（Auto Scaling）：使用云服务商的弹性伸缩功能，在检测到流量激增时自动增加服务器实例,分担压力。
应用层防护策略
A. 限流与频率控制（Rate Limiting）
- 限制单个 IP 的请求频率：限制每个 IP 每秒最多发起 10 个请求。
- 使用令牌桶算法：在网关层（如 Nginx, API Gateway）实现限流。
- Nginx 示例：
limit_req_zone $binary_remote_addr zone=one:10m rate=1r/s; server { location / { limit_req zone=one burst=5; proxy_pass http://backend; } }
- Nginx 示例：
B. 验证码（CAPTCHA）
- 人机验证：在关键操作（如登录、注册、提交表单）前引入验证码（如 reCAPTCHA, Cloudflare Turnstile）,阻止自动化脚本攻击。
- 挑战页面：在检测到异常流量时，强制用户完成 JavaScript 挑战或滑块验证。
C. 优化应用性能
- 静态资源分离：将图片、CSS、JS 等静态资源托管到 CDN,减少源站负载。
- 缓存策略：合理使用 HTTP 缓存头（Cache-Control, ETag）,减少重复请求。
- 异步处理：将耗时操作（如发送邮件、生成报表）放入消息队列异步处理,避免阻塞主线程。
监控与应急响应
A. 实时监控
- 流量监控：使用工具（如 Prometheus + Grafana, Zabbix, 云监控）实时监控带宽、CPU、内存、连接数等指标。
- 异常告警：设置阈值，当流量突然激增或错误率升高时，立即通过短信、邮件、钉钉/微信通知运维人员。
B. 日志分析
- 访问日志：定期分析 Nginx/Apache 日志，识别异常 IP 和高频请求。
- 入侵检测系统（IDS）：部署 IDS（如 Snort, Suricata）检测可疑行为。
C. 应急预案
- 制定演练计划：定期模拟 DDoS 攻击,测试防护系统的响应速度和有效性。
- 快速切换机制：准备好备用服务器或切换 CDN 高防 IP 的流程,确保在攻击发生时能快速切换流量。
常见 DDoS 攻击类型及对策
| 攻击类型 | 特点 | 防护重点 |
|---|---|---|
| Volumetric ( volumetric) | 占用带宽，如 UDP Flood, ICMP Flood | 高防 IP, CDN 清洗, 带宽扩容 |
| Protocol | 消耗服务器资源，如 SYN Flood, Ping of Death | 防火墙规则, SYN Cookie, 限制连接数 |
| Application Layer | 模拟正常请求，消耗 CPU/内存，如 HTTP Flood, CC 攻击 | WAF, 限流, 验证码, 缓存 |
总结建议
- 小型网站/个人博客：使用 Cloudflare 免费套餐，开启 CDN 和基础 WAF。
- 中小企业：购买云服务商的 DDoS 高防包或专业版 CDN，配置 Nginx 限流和防火墙规则。
- 大型企业/关键业务：部署多层防护体系，包括专用高防集群、WAF、自动化弹性伸缩、7×24 小时安全监控和应急响应团队。
重要提示：没有任何防护是 100% 绝对的，核心目标是提高攻击成本，使攻击者认为你的系统“不值得攻”或“攻击成本高于收益”,从而放弃攻击。
首发原创文章，作者：世雄 - 原生数据库架构专家，如若转载，请注明出处：https://idctop.com/article/485763.html
