为什么普通防火墙挡不住DDoS攻击
很多人以为上了防火墙就万事大吉，可真遇到DDoS攻击才发现，网站照样卡得打不开。其实这不奇怪，传统防火墙主要是防入侵、过滤恶意流量，但面对成千上万肉鸡同时发来的请求，它根本分不清哪些是真实用户，哪些是攻击流量。就像菜市场门口的保安，能拦小偷，但挡不住几百人堵门喊口号。
分层防御才是正路
真正有效的DDoS防御得像楼房设计一样，一层一层来。接入层、应用层、数据层都得有应对机制。比如在接入层用CDN分散流量，把正常用户引到最近的节点，攻击流量自然就被稀释了。国内主流云服务商基本都提供这类服务，配置起来也不复杂。
举个例子，你家开个小店，突然一群人站在门口不走，影响生意。这时候如果有个分流通道，让真正的顾客从侧门进，店里照样运转。CDN干的就是这个事。
利用云清洗服务自动拦截异常流量
当检测到某IP短时间发起大量请求，系统应该自动触发限流或封禁。很多云平台支持设置规则，比如每秒超过100次请求就进入观察名单，超过500次直接丢进黑洞。配置示例如下：
rate_limit {
key <ip>
rate 100r/s
action allow
}
rate_limit {
key <ip>
rate 500r/s
action drop
}应用层别忘了加“减速带”
有些攻击专门针对登录接口或搜索框狂刷请求。可以在前端加验证码，或者对频繁操作的客户端返回延迟响应。比如用户连续提交5次搜索没结果，第六次开始要求输入图形验证码，这样机器脚本就难继续了。
还有一种办法是让客户端先跑点简单计算，类似“证明你是人类”的小游戏。虽然增加了一点等待时间，但能有效挡住大部分自动化工具。
日志监控不能省
定期看访问日志，留意异常IP段和请求模式。比如某个时间段突然涌入大量来自同一国家的POST请求，可能就是攻击前兆。设置好告警邮件，流量突增5倍就通知负责人，早发现早处理。
有个客户之前没做监控，等发现网站打不开时，攻击已经持续三小时。后来加上日志分析工具，再遇到类似情况，十分钟内就启动了防御预案。