网络层清洗负责卸掉大流量和畸形包，传输层限连负责压住连接耗尽和新建速率，应用层识别负责精准区分人和机器；三者按“先粗后细、先旁路后串联、先限速后阻断”的顺序联动，并共享同一套业务基线和回滚机制，才能把可用性与误杀率同时控制住。
三层不是各买一台设备、各开一条规则就算配合，真正有效的配合，是先明确每层能解决什么问题、会在什么信号下触发、动作如何衔接，再用统一监控验证效果，下面按职责边界、联动顺序、应用层识别配合、场景配置、方案对比和价格选型拆开讲。
三层职责边界：谁先动手，谁负责收尾
网络层清洗：先把大流量卸掉
网络层清洗主要看BPS、PPS、协议分布和包特征，处理SYN Flood、UDP Flood、ICMP Flood、畸形包、碎片攻击等，它的优势是容量大、动作快，适合在攻击流量超过业务出口带宽时先做旁路牵引或BGP调度，部署上优先旁路，清洗后回注；回注链路要配白名单，避免把清洗中心自己的健康检查或回注地址误拦，业内专家指出，清洗设备应优先旁路部署，避免串联成为业务链路的单点。
传输层限连：把连接资源管住
传输层限连关注并发连接数、新建连接速率、半连接队列和SYN Cookie，它像单元门禁，不负责识别请求内容，但能防止连接表被占满，常见手段包括防火墙connlimit、负载均衡并发限制、Nginx的limit_conn和limit_req，共享NAT出口要特别小心：一个IP后面可能有大量真实用户，按单IP限连容易误伤，需要结合掩码、白名单或挑战机制，行业共识认为，限连阈值必须跟随业务基线动态调整，默认值只能作为起点。
应用层识别：看懂请求再拦截
应用层识别看URI、Header、UA、Cookie、请求频率、指纹、JS挑战通过率和行为序列，处理CC攻击、恶意爬虫、API滥用、恶意登录等，它的优势是精准，但依赖前两层把大流量和连接耗尽挡住，否则应用层设备先被流量打满，规则根本来不及生效，应用层规则建议先观察、再挑战、后阻断，保留最近规则版本，按业务线灰度。
| 层级 | 主要目标 | 触发信号 | 典型动作 | 常见误判 |
|---|---|---|---|---|
| 网络层清洗 | 卸大流量和畸形包 | BPS/PPS超基线、协议异常 | BGP牵引、清洗、回注 | 回注源IP丢失、白名单漏配 |
| 传输层限连 | 控制连接数和新建速率 | 并发连接、SYN速率超基线 | connlimit、限速、SYN Cookie | NAT共享IP误伤 |
| 应用层识别 | 区分人和机器、拦恶意请求 | QPS异常、挑战通过率下降 | 规则、指纹、JS挑战、验证码 | 规则过严、回注源IP错乱 |
网络层清洗和传输层限连怎么配合？顺序、阈值与回注
触发顺序：大流量先清洗，连接耗尽先限连
混合攻击下,网络层清洗先牵引，把SYN Flood、UDP Flood等大流量卸掉；传输层限连同时下发，压住新建连接和并发连接；应用层识别在回注后做二次过滤，小流量CC攻击不一定触发网络层清洗，直接由传输层限连和应用层识别配合更经济，判断顺序看攻击特征：PPS/BPS明显超基线，先网络层；连接表增长快但流量不大，先传输层；请求特征异常但连接正常，先应用层。
阈值设定：基线+峰值+冗余
- 采集至少7×24小时业务基线，记录QPS、并发连接、新建速率、PPS/BPS和错误率。
- 网络层清洗阈值按业务峰值留一定冗余,分级触发，不要一上来就全量牵引。
- 传输层限连按单IP和全局两个维度设置,共享NAT场景放宽单IP阈值或改用挑战。
- 应用层识别阈值结合挑战通过率和错误率,规则先观察模式运行。
联动动作：旁路牵引、限连下发、回注验证
- 监控告警后先确认攻击类型,避免把业务突增当攻击。
- 网络层执行旁路牵引或DNS调度,检查回注链路和源IP保留。
- 传输层下发限连策略,示例：
iptables -A INPUT -p tcp --syn -m connlimit --connlimit-above 80 --connlimit-mask 32 -j DROP，生产环境需结合NAT调整掩码。 - Nginx示例：
limit_conn_zone $binary_remote_addr zone=perip:10m;、limit_req_zone $binary_remote_addr zone=perreq:10m rate=20r/s;，再在server段引用。 - 应用层从观察切到挑战,最后阻断；观察业务错误率、挑战通过率和回注丢包，异常时逐步回滚。
应用层识别怎样配合前两层：减少误杀与漏判
应用层识别误拦截怎么排查
先看WAF或应用层识别日志：命中规则ID、URI、UA、Header、Cookie、源IP和挑战结果，再对比清洗前后源IP是否变化，回注是否保留真实源IP；如果回注后源IP变成清洗设备地址，应用层按IP做的频率限制会误伤所有用户，处理路径是：把命中请求加入观察名单，调整规则阈值，必要时加白名单，按业务线灰度，错误率上升自动回滚。
识别手段分工：规则、指纹、挑战、行为
静态规则快但易绕过；指纹和JS挑战能提高攻击成本；行为分析适合API和登录场景，与传输层限连配合时，建议“先限速观察，再挑战，最后阻断”，不要直接封IP，对NAT共享IP，优先挑战而不是永久封禁；对API客户端，用令牌桶和配额管理，而不是只看单IP并发。
规则回滚与灰度
保留最近规则版本和配置备份；按业务线或URI灰度；设置观察期；监控误拦截率和挑战通过率，应用层识别不是越严越好，漏判和误杀要一起看。
中小型企业DDoS防护三层联动配置方案
部署位置与选型
预算有限时,可采用云清洗做网络层、防火墙或负载均衡做传输层限连、WAF做应用层识别，云清洗负责大流量，本地设备负责低延迟精细控制，回源白名单、真实源IP保留和日志统一是验收重点。
配置步骤
- 采集基线：业务QPS、并发连接、新建速率、PPS/BPS、错误率。
- 网络层：在云高防控制台设置清洗阈值、回源白名单和BGP/DNS调度策略。
- 传输层：在防火墙或Nginx配置全局和单IP限连，NAT场景调整掩码。
- 应用层：WAF规则先观察，再挑战，最后阻断；API加频率限制。
- 监控：错误率、挑战通过率、回注丢包、限连触发次数；定期演练回滚。
验收清单
- 清洗后真实源IP是否保留。
- 回注白名单是否覆盖健康检查地址。
- 限连是否误伤NAT用户。
- 应用层规则能否灰度回滚。
- 告警是否联动到值班流程。
云清洗和本地设备联动哪个好
云清洗的边界
云清洗容量大、免运维，适合大流量网络层攻击；但要确认回源带宽、延迟、源IP保留和SLA，应用层精细规则和本地合规要求高时，云清洗不能完全替代本地设备。
本地设备的边界
本地设备低延迟、数据可控，适合传输层限连和应用层识别；但清洗容量有限，超大流量可能打满出口，混合联动更稳妥：云清洗做网络层，本地防火墙或负载均衡做传输层限连，WAF做应用层识别，日志统一分析。
北京地区高防IP清洗限连识别价格怎么看
计费维度
北京地区高防IP清洗限连识别价格通常看保底带宽、清洗峰值、IP数量、端口数、应用层规则数、专家服务和SLA，地域机房资源、BGP线路和回源质量也会影响报价，不要只比单价，要看回源带宽是否够、清洗触发是否及时、联动接口是否可用。
选型建议
中小业务优先云清洗加本地限连；有本地化或等保要求再考虑本地设备；北京地区选型时确认BGP线路、备案要求和回源路径，价格差异最终体现在清洗容量、回源质量和联动能力上。
三层配合的核心不是设备堆叠,而是顺序、阈值和回滚机制统一，先把网络层大流量卸掉，再用传输层限连守住连接资源，最后用应用层识别精准拦截，才能兼顾业务可用性和误杀率。
Q&A：网络层清洗传输层限连应用层识别配合常见问题
三层必须同时开启吗？
不必须,按攻击类型触发：大流量先网络层清洗；连接耗尽先传输层限连；小流量CC先应用层识别，三层共享业务基线和监控指标，避免各自为战。
应用层识别误拦截怎么快速定位？
看命中规则ID、请求特征和挑战通过率，对比清洗回注前后源IP是否变化，先改观察模式，按业务线灰度，错误率上升立即回滚规则。
北京地区高防IP清洗限连识别价格为什么差异大？
保底带宽、清洗峰值、IP数量、应用层规则数、SLA和机房资源不同，报价自然不同，价格差异最终体现在清洗容量、回源质量和三层联动能力上。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/787267.html
