本文由财富云计算提供，我们提供高防服务器与 CDN 防护服务，NAT 型无独立公网 IP 价格比独立 IP 省一半以上，看完还是分不清自己挨的哪种打，文末有我们的排查建议。

一、攻击全景图：三层防御体系

用户正常流量
     │
     ▼
┌────────────────────────────────────────┐
│  L7 应用层   │ CC / 慢速 / 爬虫 / 扫描  │ → CDN + WAF + 限流
├────────────────────────────────────────┤
│  L4 传输层   │ SYN Flood / ACK Flood    │ → 高防清洗 + SYN Cookie
├────────────────────────────────────────┤
│  L3 网络层   │ UDP/ICMP Flood / 反射放大 │ → 机房带宽 + 流量牵引
└────────────────────────────────────────┘

三层都要防，因为攻击者会混合打。你防了 L3，他打 L7；你买了高防洗 L3/L4，CC 还得靠 WAF。这就是组合防护的由来。

二、L3/L4 流量层与协议层攻击

2.1 UDP Flood

原理：海量 UDP 包打你的端口，游戏服（UDP 协议）的头号敌人。

特征：带宽瞬间打满、ping 丢包、ss -s 看不到 TCP 连接异常（因为 UDP 无连接）。

识别：

# 服务器上被 UDP 打时（如果还连得上）
tcpdump -i eth0 udp -c 100 | head   # 看包的目标端口分布
ss -uan | wc -l                      # UDP 连接数

防御：机房级清洗（丢弃无会话 UDP）+ 高防。服务器自身的 iptables 限速只是杯水车薪（带宽已经满了，包都到不了你的机器）。

2.2 SYN Flood

原理：狂发 TCP SYN 包（握手第一步），服务器等着完成握手，连接表被占满，真用户进不来。

特征：ss -s 里 syn-recv 状态几千上万、SSH 卡顿但偶尔能进、CPU 可能不高（攻击者用小包，不费带宽）。

识别：

ss -n state syn-recv | wc -l          # 半开连接，正常个位数，攻击时几千+
netstat -n | awk '/^tcp/ {print $6}' | sort | uniq -c | sort -rn | head -5

防御：SYN Cookie（系统级，net.ipv4.tcp_syncookies=1）+ 高防清洗。SYN Cookie 的原理见清洗原理篇第三节——大流量 SYN 必须硬件洗，本机扛不住。

2.3 反射放大攻击（Reflection/Amplification）

原理：攻击者伪造「你的 IP」作为源 IP，向互联网上的开放服务器（NTP、Memcached、DNS、SSDP）发小请求，这些服务器把大几十倍的响应打到你头上。攻击者花 1G，你挨 50G。

特征：单一源 IP 很少（流量来自全网反射器）、UDP 包（特定源端口 123/11211/53/1900）、突发性极强（几分钟内从 0 到几十 G）。

防御：机房清洗（识别伪造源 IP 的反射流量直接丢）+ 高防。自己服务器防不了——响应来自全互联网，你在被围观的洪流中心。

2.4 ACK/FIN/RST Flood

原理：发大量无状态的 ACK/FIN 包，撞掉防火墙状态表或消耗设备性能。

特征：防火墙/路由器 CPU 高、连接数虚高但无实际数据传输。

防御：状态防火墙（不在状态表里的 ACK 直接丢，iptables 模板）+ 高防清洗。

三、L7 应用层攻击：CC 家族

CC（Challenge Collapsar）的本质：用合法的 HTTP 请求打垮你的应用。每个请求都「正常」，但量大到你处理不完。

3.1 直接刷接口（HTTP Flood）

# 攻击者视角（长见识，别用来打人）
for i in $(seq 1 100000); do curl -s "https://目标/?id=$i" & done

打动态接口（搜索、登录、查询），每个请求都查数据库——100 个并发就能把 2 核 4G 的 PHP 站打瘫。

识别：Nginx access log 里单 IP 高频请求、请求 URI 带随机参数（?id=随机数）。

防御：Nginx 限流 + CDN CC 规则（CC 防护）+ 接口缓存。

3.2 慢速攻击（Slowloris / RUDY）

原理：不拼量，拼「占用」。Slowloris 慢慢发 HTTP 头（几秒发一个字节），连接一直开着不完成——占满 Nginx 的 worker 连接数，正常用户进不来。

特征：连接数不高（几百个）但都是 active 状态、recv 慢、带宽几乎为零、CPU 正常——纯靠连接数耗尽，最难发现。

识别：

ss -tn state established '( dport = :80 )' | wc -l   # established 异常多
# 或看 Nginx 状态
curl localhost/nginx_status   # "Reading" 状态的连接长时间不减少

防御：Nginx 超时收紧（client_body_timeout 10s; client_header_timeout 10s; keepalive_timeout 30s;）+ CDN 层连接管理。慢速攻击变种详见CC 变种对抗。

3.3 分布式 CC（僵尸网络）

成千上万真实肉鸡（或代理池）刷请求，单 IP 频率不高——IP 限流失效，只能靠行为特征（UA 一致性、请求节奏、跳转路径不像人）。

防御：智能 CC（CDN 的 AI 识别）+ JS 挑战 + 行为验证码。这是高防 CDN的核心价值——单台 Nginx 防不了分布式。

3.4 CC 的变种目标

不只打「打开慢」，攻击者的花活：

短信接口被刷是新手最惨的——攻击不要你站挂，只要你话费爆炸。所有「按次计费」的接口都要单独限流。

四、攻击识别速查表

被打时按这个表对号入座：

五、攻击者的视角：成本与动机

理解攻击者，才能预判攻击：

攻击成本：一次 100G 的攻击在暗网明码标价，但攻击者也挑软柿子——你露出「好打」的信号（无防护、暴露源站、低配机器），就进了靶子名单。

六、防御体系总图

按预算从低到高，一套完整的防御栈：

第 0 层（免费）：系统加固——SYN Cookie、超时收紧、iptables 基础规则
第 1 层（便宜）：Nginx 限流 + fail2ban + 接口级防护
第 2 层（中档）：高防 CDN（应用层主力）+ WAF
第 3 层（核心）：高防服务器（流量层主力，硬件清洗）
第 4 层（保障）：源站隐藏（NAT 型内网）+ 监控告警 + 应急预案

每一层解决一类攻击，叠加起来攻击者的成本指数上升——没有攻不破的防护，只有不划算的攻击。你的目标不是「无敌」，是让攻击者觉得「这站太硬，换一家」。

各层的落地配置：SYN Flood 专题、Nginx 进阶防护、OpenResty Lua WAF、iptables 模板。

七、小结

DDoS 的攻击分三层：流量层靠高防硬件洗，协议层靠清洗 + SYN Cookie，应用层靠 CDN + WAF + 限流。识别攻击看三个信号：ping 通不通（带宽层 vs 应用层）、连接数状态（SYN vs 慢速）、日志形态（单 IP 刷 vs 分布式）。防御没有银弹，是按攻击类型逐层堆成本——先认清自己挨哪种打，再决定买哪层防护。

相关阅读：

• DDoS 防护入门
• SYN Flood 与 TCP 防护专题
• 反射放大攻击专题
• CC 攻击变种识别与对抗
• 慢速攻击 Slowloris/RUDY 防护
• 高防服务器选购指南
• 攻击应急响应手册

本文由财富云计算整理，我们提供高防服务器、CDN 防护与 NAT 型云服务器，无独立公网 IP 机型价格比独立 IP 省一半以上，被攻击需要排查和防护方案的咨询。更多教程见端口速查表。

延伸阅读

1. 高防误区与避坑清单：25 个坑+下单前必问 14 问+到货验货流程
2. DNS 攻击防护专题：劫持、隧道、投毒、放大四类攻击与 DNSSEC
3. 电商大促防攻击预案：T-14 到当天的分级响应与降级开关
4. 源站真实 IP 隐藏完全指南：六大暴露面排查+NAT 型终极方案
5. 日志分析找攻击源：Nginx 日志三维度分析法与证据固定
6. 攻击应急响应手册：六阶段响应流程，从确认到复盘的照做清单
7. iptables 抗 DDoS 配置模板：状态过滤+SYN 防护+防扫描+游戏服版
8. OpenResty Lua 自研 WAF：动态限流+攻击特征检测+Redis 黑名单

更多阅读

1. 上一篇：游戏服高防方案：UDP 清洗、端口规划、RCON 保护、NAT 型架构
2. 下一篇：反射放大攻击专题：Memcached/NTP/SSDP 借刀杀人流量攻击的防御