什么是 DDoS 攻击？原理识别与服务器防护方案-服务器测评_云 VPS 推荐_运维技术教程与源码分享

什么是DDoS攻击？怎么抵抗DDoS攻击？

很多站长上线网站之后，都听说过DDoS攻击，一旦中招网站直接打不开，业务中断，损失不小。不少新手分不清DDoS、SYN洪水、CC攻击之间的关系，其实SYN、ACK洪水还有CC，都属于DDoS攻击下面不同细分类型。环球云域结合运维实战，用站长容易看懂的方式讲清楚DDoS攻击以及对应的防御思路。

一、什么是DDoS攻击

DDoS全称分布式拒绝服务攻击。简单来讲，攻击者调动大量肉鸡、代理节点，同时向目标服务器发送海量无效请求或者数据包，把服务器带宽、系统内核资源、程序资源占满，让正常用户无法访问网站、服务。

重点是“分布式”，攻击流量不是来自单一IP，而是成千上万不同来源IP，单纯拉黑单个IP基本没有效果。DDoS主要分为两大类：网络层DDoS、应用层DDoS。前面文章讲到的SYN Flood、ACK Flood、UDP洪水，属于网络层攻击，直接打服务器TCP协议栈；CC攻击属于应用层DDoS，模拟大量用户访问网页，消耗网站程序、数据库资源。

DDoS攻击目标不是入侵服务器、窃取数据，核心目的就是拒绝正常用户访问，直接打瘫业务。小流量DDoS单机还有机会扛住，大流量DDoS裸源站基本无法抵抗。

二、服务器遭遇DDoS攻击常见现象

网站访问超时、页面打不开，间歇性丢包，Ping服务器IP出现大面积丢包，SSH远程连接卡顿或者连不上。
带宽占用突然飙升，入站流量短时间暴涨，远超日常访问流量，带宽直接跑满。小包攻击有时带宽不高，但报文数量巨大。
服务器负载异常：网络层攻击CPU内存不一定高；CC这类应用层攻击，数据库、PHP进程占用会直接拉满。
日志里大量陌生IP访问，大量不存在的请求、异常报文涌入，IP来源杂乱，遍布国内外。

三、抵抗DDoS攻击可行方案

抵抗DDoS的核心思路：不要硬扛流量，尽量在流量到达源站之前清洗恶意数据包，这是最有效的方案。环球云域整理站长可落地的防御手段：

接入高防IP或者具备DDoS清洗能力的CDN。这是首选方案。把域名解析到高防节点，恶意流量在清洗节点拦截，只有正常流量转发到源站，同时隐藏源服务器真实IP，攻击者无法直接打到源站。
合理控制服务器带宽上限。如果没有高防，大流量攻击直接打满带宽，服务器会断流。带宽预留只能应对小规模攻击，大流量场景完全不够。
服务器内核参数调优。开启tcp_syncookies，调整半连接队列、超时参数，应对SYN这类网络层小包攻击。注意内核调优只是单机兜底，只能防御小规模攻击，扛不住大流量DDoS。
防火墙、安全组做基础访问管控，关闭无用端口，只放行业务必需端口，限制异常报文，过滤非法数据包，减少无效报文进入内核协议栈。
针对应用层CC攻击做业务层防护，接入验证码、访问频率限制、接口限流，拦截爬虫和虚假请求，降低程序与数据库压力。
提前做好监控告警，监控带宽、包速率、CPU内存、网站访问延迟，一旦发现流量异常，快速切换解析到高防，缩短业务中断时间。