最近两年DDoS攻击规模彻底变了样。以前觉得1Tbps已经是天量，现在动不动就破纪录。有的攻击峰值直接冲到31.4Tbps，还有的HTTP请求每秒超过2亿次。这些超大流量往往来自规模上百万的僵尸网络，感染的主要是路由器、摄像头、安卓TV盒子这些IoT设备。攻击方式也从慢慢堆积变成“地毯式轰炸”加随机化参数，几秒到几分钟就结束，留给人手工响应的时间几乎没有。

这种变化带来最直接的问题是：传统靠人工切换、临时牵引的防护模式已经跟不上。攻击时间太短，等你反应过来流量已经冲垮链路；规模太大，普通机房出口直接饱和，连带影响同运营商其他客户。游戏平台、电信服务商、AI相关业务最近成了重灾区，有时候甚至不是目标本身，只是僵尸网络出站流量拥堵了上游，旁边无辜的业务也跟着卡。

面对这种局面，单点防护基本无效。必须上多层架构，而且要自动化、始终在线。第一层是边缘高防CDN。把业务挂到有全球Anycast节点、Tbps级清洗能力的网络上。攻击流量一进来就在边缘分散、识别、丢弃，真正到源站的只剩干净流量。很多团队的实战经验是：把CDN作为第一道门，体积型UDP、SYN、DNS放大这些先挡在外面。开启自动防护模式后，突发流量能在秒级被吸收，源站几乎感觉不到。

第二层是协议和速率控制。在API网关或负载均衡上加严格限速：同一IP短时间请求过多直接限流或挑战；异常User-Agent、缺头、只打敏感路径的流量优先拦截。对于疑似人类的流量用轻量挑战（类似不可见验证）而不是生硬验证码，减少误伤。地理临时封锁也有用——攻击高峰期经常集中从某几个区域涌来，先挡掉非核心市场，等平息再放开。这些规则最好做成可快速切换的策略组，攻击来了直接启用“高防模式”。

第三层是源站高防服务器。即使边缘挡了大部分，还是可能有漏网或应用层慢速攻击渗透进来。这时候需要源站本身具备清洗能力：独立高防IP、大带宽出口、本地或近源清洗。部署时注意隐藏真实IP，用反向代理或专线回源，避免被直接打。常见做法是把高防服务器和CDN配合：CDN负责全球分散和初步清洗，高防服务器处理最终落地流量和复杂业务逻辑。监控要到位，实时看pps、bps、连接数，一旦异常立刻联动上游。

实操中有几个坑特别容易踩。一是只买容量不测效果。Tbps数字看着唬人，实际清洗精度、误杀率、延迟才是关键。上线前一定要做模拟攻击测试，看业务在高压下的可用性。二是忽略出站和横向影响。僵尸网络节点多在家用宽带上，攻击时上游也会拥堵，自己的回源链路要做冗余。三是规则太死板。现代攻击会随机化端口、协议、包大小，靠固定阈值很容易被绕过。需要行为分析+威胁情报持续更新。四是只防体积不防应用层。现在很多混合攻击先用大流量转移注意力，再上HTTP flood或慢速连接耗资源。WAF和bot管理必须同步上。

日常运维建议把防护做成“默认开启”而不是“出事再开”。定期演练：模拟短时超大流量，检查告警到缓解的时间线。团队要有清晰的事件手册——谁负责切换策略、谁通知业务、怎么更新状态页。成本上不必一步到位最贵方案，可以从边缘CDN起步，再根据业务价值叠加高防服务器。很多中小团队用分层组合就能把大部分攻击挡在外面，真正到源站的压力可控。

以基石云这类高防服务为例，它的通用能力就是把全球节点清洗和弹性带宽结合，帮用户快速接入多层防护，不用自己从零搭清洗中心。rockcloud在实际项目中也常被用来做源站加固和回源优化，配合边缘策略形成完整闭环。关键不是某个品牌参数，而是整体架构能不能自动化应对秒级变化。

现在攻击门槛已经很低，僵尸网络切片出租，几百到几千美元就能买到大流量。防御侧如果还靠“够用就行”的心态，迟早会在某个凌晨被打到下线。先把边缘高防CDN跑通，再补源站高防服务器和精细规则，最后靠监控和演练闭环。这套多层思路在真实超大流量场景里已经多次验证有效。早点动手，比出事再补强省心得多。