去年11月，滨海新区一家做跨境电商的公司遭遇了一次流量型DDoS攻击，峰值流量达到23Gbps，网站整整瘫痪了14个小时。老板联系了5家服务商才找到能扛住的CDN，直接损失加上客户流失，保守估计超过50万。这种事在天津的企业圈里并不罕见，尤其是做外贸和金融的企业，被DDoS盯上的概率不低。
DDoS到底怎么回事
DDoS简单说就是用大量虚假流量把你的服务器带宽塞满，正常用户进不来。攻击者通常控制一批肉鸡——就是被植入了木马的服务器或电脑，同时向你的网站发请求。说白了就是堵门，雇一群人堵在你公司门口，客户进不去。
DDoS分两种类型。流量型攻击靠带宽碾压，动辄几十G上百G，这种靠服务器自身扛不住，必须用高防IP或CDN分流。应用层攻击带宽不大但更难防，模拟真实用户请求，消耗服务器CPU和数据库资源，一个10Mbps的应用层攻击就能把普通服务器搞挂。
事前准备
别等被打了才想对策。天津的企业可以提前做几件事。接入CDN，把静态资源分发到CDN节点，既加速又扛量。Cloudflare免费版能挡小规模攻击，企业版更靠谱。滨海高新区一家做SaaS的公司提前接入了阿里云DDoS高防IP，月费2000多块，后来真被攻击了两次，流量峰值分别是8G和15G，高防IP直接清洗掉了，业务完全没受影响。
服务器别裸跑。把Web服务放在Nginx后面，配置好连接数限制和请求频率限制。同一个IP每秒请求超过20次直接拉黑，这个配置对应用层CC攻击有一定效果。河东区一家做票务的公司，被CC攻击打满数据库连接数，加上Nginx限流后，同样的攻击打不动了，服务器负载从100%降到12%。
事中应对
正在被攻击的时候，第一件事是切换到高防IP或者启用CDN的Under Attack模式。如果你的服务器在天津本地机房，联系机房看能不能在入口做清洗。华苑产业园一家做医疗信息的企业去年被打了6个小时，机房在入口做了BGP牵引，把攻击流量引到清洗设备，虽然延迟从30ms涨到了80ms，但至少网站还能用。
同时看日志，分析攻击特征。很多DDoS有固定特征，比如都请求同一个URL，或者User-Agent都一样。找到特征后在WAF里加规则拦截。南开区一家做教育培训的公司被CC攻击，分析日志发现攻击请求的User-Agent全是一样的，一条WAF规则就挡掉了90%的恶意流量。
事后复盘
攻击结束后别急着恢复原状。把攻击日志、流量数据存好，分析攻击规模和手法，评估现有防护是否够用。如果这次差点扛不住，说明防护需要升级。蓟州区一家做旅游预订的平台，第一次被DDoS扛了8小时，升级了高防IP后第二次再被攻击，15分钟就清洗完毕，业务零中断。这就是复盘的价值——花在防护上的钱，比被攻击后的损失便宜多了。