---

从“被打到502”说起：一次真实的 DDoS 正面防御实践总结

前言

很多人第一次真正理解什么是 DDoS 攻击，往往不是在书本上，而是在某一天——
网站突然 502 Bad Gateway、服务器负载拉满、SSH 都连不上。

我也是如此。

这篇文章不讨论“怎么攻击”，只讲一件事：
👉 当你作为网站/服务器的拥有者，如何正面、合法、有效地防御 DDoS。

---

一、什么是 DDoS（从防御角度理解）

DDoS（Distributed Denial of Service），本质只有一句话：

用大量“看似正常”的请求，耗尽你的服务器资源，让正常用户进不来。

从防御角度看，DDoS 通常分为三类：

1️⃣ 网络层攻击（L3 / L4）

• SYN Flood
• UDP Flood
• ICMP Flood

特点：
👉 量大、快、直接打带宽或连接数

2️⃣ 应用层攻击（L7）

• HTTP Flood
• 高频访问某个接口
• 模拟正常浏览器请求

特点：
👉 请求“看起来很正常”，但非常消耗后端资源

3️⃣ 混合攻击

• 先打网络层
• 再打应用层
• 或同时进行

---

二、为什么“裸服务器”几乎扛不住

很多个人站点或小项目，部署方式通常是：

• 一台云服务器
• Nginx + 后端
• 公网 IP 直连

这种架构在 DDoS 面前非常脆弱，原因很简单：

• 带宽有限
• 连接数有限
• 没有流量清洗
• 所有请求都直接打到源站

结论一句话：

不做任何防护的公网 IP，本质上就是“裸奔”。

---

三、DDoS 正面防御的核心思路（非常重要）

⚠️ 先说一个很多人会忽略的事实：

DDoS 不是靠“更强的服务器”解决的，而是靠“架构”和“分流”。

防御的四个核心关键词：

1. 隐藏源站 IP
2. 流量提前拦截
3. 限制异常行为
4. 保证正常用户优先

下面逐条说。

---

四、第一道防线：使用 CDN / 反向代理

为什么 CDN 是防 DDoS 的第一选择？

因为：

• 攻击流量 先到 CDN
• 源站 IP 不暴露
• 大流量由 CDN 扛
• 恶意请求在边缘节点被拦截

即使你什么都不配，只要上了 CDN，防护能力都会立刻提升一个数量级。

👉 实战建议：

• 只允许 CDN IP 访问源站
• 源站防火墙直接拒绝非 CDN 流量

---

五、第二道防线：Nginx 限速 + 限连接

即使有 CDN，应用层攻击仍然可能穿透。

1️⃣ 限制单 IP 并发连接

limit_conn_zone $binary_remote_addr zone=conn_limit:10m;
limit_conn conn_limit 20;

作用：

• 防止一个 IP 同时开几百个连接

---

2️⃣ 限制请求速率（非常关键）

limit_req_zone $binary_remote_addr zone=req_limit:10m rate=5r/s;

location / {
    limit_req zone=req_limit burst=10 nodelay;
}

作用：

• 防止 HTTP Flood
• 正常用户几乎无感
• 攻击请求会被直接丢弃

---

六、第三道防线：系统层面的基础加固

1️⃣ 提高系统连接上限

ulimit -n

合理调高：

• fs.file-max
• net.core.somaxconn
• net.ipv4.tcp_max_syn_backlog

👉 目的不是“硬抗”，而是避免瞬间被拖死

---

2️⃣ 启用 SYN Cookies

sysctl -w net.ipvencode.tcp_syncookies=1

有效缓解 SYN Flood。

---

七、第四道防线：监控 + 自动化

DDoS 防御不是一次性配置，而是持续对抗。

你至少需要：

• Nginx 访问日志
• 服务器负载监控
• 异常 IP 统计

简单但有效的思路：

• 高频 IP → 自动封禁
• 异常 User-Agent → 拦截
• 某接口 QPS 异常 → 单独限流

---

八、一个非常重要的心态问题

很多新手会问：

“我能不能自己挡住所有 DDoS？”

答案是：
❌ 不能，也没必要。

真正成熟的策略是：

• 小攻击：自己挡
• 中攻击：CDN 挡
• 大攻击：平台/云厂商挡

这不是能力问题，而是成本和专业分工问题。

---

九、写在最后

DDoS 防御不是炫技，而是：

• 对用户负责
• 对服务稳定性负责
• 对自己时间负责

你不需要成为“黑客”，
你只需要成为一个懂得防御、懂得架构的工程师。

如果你已经走到“开始研究 DDoS 防御”这一步，
说明你已经比 90% 的人更进