DDoS 防护不是把所有流量一概挡住。基线设得过低，正常访问也可能被限；只盯总带宽，又可能漏掉请求量不大、但消耗业务资源的攻击。优化 ddos 策略，应先识别平时流量，再按不同层次设置阈值，并预先写好升级处置步骤。
先建立能用于判断的流量基线
不要只用一个月平均值作为标准。按业务入口记录带宽、每秒数据包数、连接建立与结束情况、请求速率、响应延迟和错误比例；以 1 至 5 分钟为常见观测粒度，同时保留小时和星期维度。记录至少覆盖一个完整业务周期；有明显周末或促销波动时，参考连续 2 至 4 周的同类时段更稳妥。
将正常时段的中位数和高分位水平分开看，并标记发布、直播、抢购等已知活动。比如，售票页面开售时请求量自然上升，若直接沿用凌晨阈值，容易把真实用户当成异常。基线也要分入口、地区或业务路径维护；不同服务的正常请求模式往往不同。
按层限速，避免一把尺子管到底
入口层：先保住链路与服务可用性
当入口带宽或包速率持续超过基线，先由云端清洗、内容分发网络或上游网络设备分担和过滤异常流量。若链路已经塞满，仅在源站增加限速规则通常来不及，因为流量仍会占用接入带宽。确认攻击来源与影响范围后，可由网络服务方评估路由牵引或临时黑洞；黑洞可能连同正常访问一起丢弃，应作为影响较大的应急手段。
连接层：限制异常建立与占用
为单个来源、连接或目标服务设置并发上限、建立速率和超时回收规则。限值应从该服务平时的高峰连接数出发，再留出正常波动空间，不宜照搬其他业务的参数。对于需要长时间保持连接的服务，过短超时会造成反复重连，反而增加负担。此层的 ddos 规则应同时观察连接成功率和用户侧失败率。
应用层：按业务动作设配额
将登录、搜索、提交表单、读取静态内容等操作分别计数。对成本较高或容易被自动重复调用的动作，采用短时窗口限速、排队、验证码或登录后配额；静态内容则可通过缓存减少回源压力。共享出口可能让多个真实用户看起来像同一来源，因此单一来源限额应结合账户、会话或业务动作判断，并提供逐步放宽和申诉通道。
用可执行流程校准规则
- 采集：汇总入口监控、服务日志和告警记录，先确认时钟、统计口径与采样间隔一致。
- 划分：按入口、业务动作和正常高峰建立基线，标注计划内流量变化。
- 试运行：先观察规则命中与被拒请求，不立即扩大拦截范围；条件允许时先对少量流量灰度应用。
- 调参：若正常成功率下降，检查阈值是否过低、共享出口是否集中；若资源仍持续告警，逐层收紧并确认上游清洗已生效。
- 复盘：保存告警时间、规则变更、影响范围和恢复条件。攻击结束后撤销临时限制，避免应急配置长期误伤。
阈值可先按同类时段基线的约 1.5 至 2 倍作为告警观察起点，再依据误报、漏报和业务承受能力调整；这不是通用安全线。流量增长快慢、缓存命中率及服务容量都会改变合适范围。ddos 防护应以分层响应取代固定阈值，并通过演练验证切换权限、联系人和回退办法。
常见问题
流量升高就一定是 DDoS 吗？
不一定。发布、活动或内容传播也会带来峰值，应结合来源分布、请求行为、错误率和业务日历判断。
只设置入口带宽告警够吗？
不够。入口带宽正常时，连接占用或特定业务动作仍可能异常；至少同时观察带宽、请求速率和服务成功率。
限速越严格越安全吗？
不是。过严会误拦真实用户。应从高风险动作开始设置，并依据监控逐步调整。
何时需要上游协助？
当接入链路已拥塞、源站无法正常响应，或本地设备无法承载清洗时，应尽早联系网络服务方协同处置。
归根结底，ddos 优化要让基线贴近真实业务，让限速落在合适层次，并让每项应急措施都可监测、可撤回。
