DDoS

什么是 DDoS 攻击？如何保护你的服务器？

DDoS 攻击类型、真实案例与有效防护方法。结合 Cloudflare、骨干层防护与服务器侧措施。

KavesNET 团队 2026年2月26日 2 分钟阅读

DDoS（分布式拒绝服务）攻击在 2024 年全球同比上涨 46%——Cloudflare 报告。如果你不想哪天打开网站看到「服务器无响应」，今天就要建立防御。本文讲解 DDoS 类型、识别方法以及多层防御。

什么是 DDoS？

经典 DoS 攻击让你的服务器被单一来源的成千请求轰炸。DDoS 则让成千上万乃至数百万 IP（通常是僵尸网络）同时发起。服务器忙得团团转，真实用户进不来。

简单类比：餐厅 50 个座位，突然门口堆了 5000 人——真正的客户进不去。这就是 DDoS——把带宽或 CPU 撑满。

DDoS 攻击类型

1. 流量型攻击

目的：填满你的链路。以 Gbps 计量。

UDP Flood：向随机端口轰炸 UDP 包
ICMP Flood：用 ping 灌满网络
DNS 放大：向 DNS 服务器伪造请求，把放大后的响应发到目标（1 GB 请求 → 50 GB 响应）

方案：骨干层流量清洗——ISP/数据中心在到达服务器前先清洗。

2. 协议型攻击

目的：耗尽服务器资源（CPU、连接表）。以包/秒计量。

SYN Flood：TCP 三次握手永不完成，服务器一直留着连接
Ping of Death：畸形 ICMP 包
Smurf 攻击：向广播地址发 ICMP

方案：SYN cookies、防火墙规则、连接速率限制。

3. 应用层（L7）攻击

目的：拖垮 Web 应用。以请求/秒计量。 最危险、最难检测。

HTTP Flood：通过僵尸网络发起看起来合法的 GET/POST
Slowloris：缓慢打开连接、永不关闭
WordPress XML-RPC 滥用：利用 WP 自身端点冲击数据库

方案：WAF（Web 应用防火墙）、机器人识别、按 IP 限速。

防御层（4 层）

DDoS 防护不是单个工具的事，需要多层安全：

第 1 层 — CDN / 反向代理

Cloudflare（免费版即可）先接住流量：

在 200+ Tbps 骨干网吸收流量型攻击
通过指纹识别隔离机器人
WAF 拦截 L7 攻击

部署时间：约 10 分钟（修改 DNS）。

第 2 层 — 数据中心 / 主机商侧

优秀主机商会在到达服务器之前清洗流量。例如 KavesNET 服务器：

骨干层 DDoS 防护（免费、内置）
吸收最高 10 Gbps 流量型攻击
检测到异常时自动路由到清洗中心

不依赖 Cloudflare 也能用；二者结合是最强组合。

第 3 层 — 服务器防火墙 + 限速

iptables / nftables 或 ufw 的简单规则：

# 同一 IP 60 秒内超过 100 连接则封禁
iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW \
  -m recent --set --name HTTP

iptables -A INPUT -p tcp --dport 80 -m conntrack --ctstate NEW \
  -m recent --update --seconds 60 --hitcount 100 --name HTTP -j DROP

Nginx 限速：

limit_req_zone $binary_remote_addr zone=api:10m rate=10r/s;

location /api/ {
    limit_req zone=api burst=20 nodelay;
    proxy_pass http://backend;
}

第 4 层 — 应用侧

WordPress：关闭 XML-RPC，登录页加 2FA + IP 白名单
API：JWT + 按用户限速
机器人识别：Cloudflare Turnstile、hCaptcha
健康检查与监控放独立端口

受攻击时怎么办？

如果正被攻击，分步走：

分析流量：netstat -anp | grep :80 | wc -l 看活跃连接数
Cloudflare “Under Attack” 模式：一键开启 JS 挑战
通知主机商：申请骨干层嗅探/清洗
临时封禁攻击者 IP/段：fail2ban 或手动 iptables
保留日志：User-Agent、referer 模式对未来防御有帮助

常见错误

只信 Cloudflare：如果源站 IP 泄露，Cloudflare 被绕过；务必用防火墙只允许 Cloudflare IP 段访问 80/443
限速过激：会误伤真实用户（移动 NAT 可能一个 IP 出来很多人）
不做日志：事后无法复盘
无备份：攻击期间可能遭遇勒索软件；备份至关重要。参考3-2-1 备份策略