DDoS 攻击是什么？高防到底在 "防" 什么？一文讲透

某天早上，你的网站突然打不开，后台监控显示流量暴涨到平时的几十倍，服务器 CPU 打满、带宽跑光，所有用户都进不来 —— 大概率，你被 DDoS 攻击了。

DDoS 攻击是什么

DDoS 的全称是分布式拒绝服务攻击（Distributed Denial of Service）。打个比方：你的店门口本来排着正常顾客，突然来了几千个人堵在门口既不买东西也不走，把路彻底堵死，真正的顾客进不来，生意全黄了。攻击者就是通过控制大量 "僵尸主机"（肉鸡），在同一时间向你的服务器发起海量请求，让服务器因资源耗尽而无法服务正常用户。

攻击主要分两类

一类是带宽型攻击。用巨大的流量把出口带宽打满，常见的有 UDP 洪水、DNS 放大攻击等。这种攻击的目标很直接：带宽用尽，数据包根本进不来，谁访问都超时。

另一类是资源耗尽型攻击。攻击者不追求巨大带宽，而是瞄准服务器的处理能力，比如 SYN Flood（疯狂发起半连接，耗尽连接表）、CC 攻击（模拟真实用户疯狂请求动态页面，打满 CPU 和数据库）。这类攻击流量看着不大，但杀伤力一点不弱，也是最难防的 —— 因为它长得太像正常请求了。

高防到底在 "防" 什么

高防的核心动作就三个字：清洗。它的工作流程是这样的：

第一步，牵引。通过 DNS 或 BGP 路由，把指向你网站的攻击流量先引到高防机房的清洗设备上，而不是直接打向你的服务器。第二步，清洗。清洗设备用特征识别、流量分析等手段，把正常请求和攻击流量区分开，攻击流量直接丢弃。第三步，回注。把洗干净的正常流量再转发回你的源站，用户访问不受影响。

所以高防防的是两件事：一是帮你扛住大流量，把几 T 的攻击扛在云端，不让它碰到你的源站；二是帮你挡住攻击特征，把 SYN Flood、CC 这类伪装请求识别出来扔掉，让源站只处理正常请求。

高防的几种常见形态

高防 IP：给你一个高防机房 IP，把流量都引到这里清洗，适合 IP 直连的业务。高防 CDN：把 CDN 和高防结合，用户先经过 CDN 节点，攻击流量在边缘就被清洗，还能隐藏源站 IP。云清洗 / 高防机房：大流量攻击时，把流量整体牵引到清洗集群，适合超大规模攻击场景。

高防也有防不住的东西

说句实话，高防不是万能盾牌。它挡得住流量型和资源型攻击，但挡不住 "业务逻辑攻击"—— 比如恶意注册、刷接口、薅羊毛这类看着完全正常的请求。这类要靠业务侧的限流、风控和验证码来配合。所以正确姿势是：高防负责 "扛流量、挡攻击"，业务层负责 "识别坏人"，两层配合才完整。

理解了 DDoS 攻击的本质和高防的清洗原理，你就不会再被各种 "高防" 宣传绕晕：高防买的是 "流量牵引 + 智能清洗 + 源站隐藏" 这套组合拳，而不是一个玄学护盾。