本文由财富云计算提供，我们提供高防服务器与 CDN 防护服务，NAT 型无独立公网 IP 价格比独立 IP 省一半以上，业务需要清洗能力托底的可以看看文末建议。

一、整体架构：流量进清洗中心转一圈

高防的本质是「引流 + 清洗 + 回注」三步。没有高防时，攻击流量直达你的服务器；有高防时，流量先进一个中间设施：

攻击流量（正常+恶意混合）
      │
      ▼
┌─────────────────┐
│  高防机房入口    │  ← 对外 IP（你域名解析到这里）
│  （BGP 多线接入） │
└────────┬────────┘
         │ 全流量牵引（检测到攻击时）
         ▼
┌─────────────────┐
│   流量清洗中心    │  ← 硬件集群：识别恶意，只放正常
│  （清洗设备阵列）  │
└────────┬────────┘
         │ 干净流量
         ▼
┌─────────────────┐
│   你的服务器     │  ← 源站（IP 可以隐藏，见第六节）
│   （源站）       │
└─────────────────┘

关键点：清洗是「全流量牵引」不是「逐包判断」。检测到攻击特征后，入口设备把这个 IP 的所有流量引到清洗集群——就像机场安检升级，所有行李过 CT 机，正常的放行，可疑的开箱。所以高防的清洗能力上限取决于硬件集群的处理能力，这是「共享」和「独享」区别的物理根源（见选购指南第二节）。

二、流量牵引：攻击来了怎么被发现

高防机房 7×24 盯着每条接入 IP 的流量。发现异常的手段：

2.1 阈值触发（最常见）

这些指标由机房探针秒级采集，超过阈值自动触发牵引——从攻击开始到启动清洗通常几秒。这就是为什么高防能扛：它反应比你服务器上的软件防火墙快几个数量级。

2.2 特征识别（对抗慢速攻击）

慢速 CC（Slowloris）不涨带宽，靠慢慢占满连接数。阈值触发不了，靠特征识别：

• 同一 IP 大量半开连接（发了请求头不收尾）
• 请求间隔异常规律（机器行为）
• User-Agent / 指纹聚类异常

2.3 人工 + 智能

大厂高防有安全专家盯着，还有 AI 模型做基线（你的业务平时流量长什么样，偏离了就预警）。中小商家这块弱一些，主要靠阈值——所以买中小高防要有心理准备：慢速攻击和精细化 CC 主要靠自己配规则（CC 变种那篇是教你这个的）。

三、清洗设备：脏在哪一层，就在哪一层洗

不同协议层的攻击，清洗手段完全不同。好的高防是分层清洗：

3.1 三层/四层清洗（网络层、传输层）

防的是「把链路打满」的攻击：UDP Flood、ICMP Flood、SYN Flood、反射放大（NTP/Memcached/SSDP）。

清洗手段：

关键技术——SYN Cookie：不清状态表，用算法把连接信息编码在 SYN-ACK 的序列号里，客户端回 ACK 时解码验证。这样攻击者发多少 SYN 都无所谓，清洗设备不存任何状态——这是抗 SYN Flood 的核心，也是为什么高防机房敢接几百 G 的 SYN 攻击。

3.2 七层清洗（应用层）

防的是「请求打得你应用崩溃」的攻击：CC（HTTP Flood）、慢速攻击、恶意扫描、爬虫爆破。

七层清洗不能再靠「扔包」——CC 攻击的包都是合法的 HTTP 请求。手段：

1. 人机识别：JS 挑战（浏览器能不能执行 JS）、Cookie 验证（有没有过第一关）、行为指纹（鼠标轨迹、请求节奏）
2. 频率控制：单 IP/单会话的请求速率，超限弹验证码或 503
3. 地理位置/ASN 过滤：业务只服务国内？海外流量基本可拦（误杀跨境业务慎重）
4. 规则引擎：URI 特征、参数特征匹配已知攻击 payload（SQL 注入、路径扫描）

注意：七层清洗会增加延迟（每个请求都要过规则）。CDN 的七层防护本质也是这套，只是节点分布在全球（见CDN 防护）。

3.3 清洗优先级

真实高防设备的工作顺序：

进流量 → 快速丢弃明显垃圾（畸形包、广播包）
       → 状态检查（合法连接？）
       → 特征匹配（黑名单指纹？）
       → 速率限制（超基线？）
       → 通过 ✓

误杀就发生在这里：规则太严，正常用户被打上「异常」标签。所以好的清洗策略是「先观察后拦截」——不确定的先弹验证码，而不是直接 503。

四、回注与回源：干净流量怎么回到你机器

两种模式：

4.1 二层回注（同机房）

你的源站就托管在高防机房里，清洗完的流量通过机房内网直达——延迟最低（微秒级），不绕公网。

• 优点：最快
• 缺点：源站和高防绑定，迁移麻烦

4.2 三层回源（跨机房/公网回源）

清洗完的流量通过专线或公网回到你原机房的服务器。多一跳，延迟 +1–5ms，但架构灵活。

回源的关键配置：

# Nginx 只允许高防回源 IP 段访问（回源白名单）
# /etc/nginx/conf.d/whitelist.conf
location / {
    allow 203.0.113.0/24;    # 高防回源 IP 段（问商家要）
    deny all;                # 其他一律拒——防止被打到源站
    proxy_pass http://backend;
}

# iptables 层同样做白名单（更底层）
iptables -A INPUT -p tcp --dport 80 -s 203.0.113.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 80 -j DROP

没有回源白名单 = 源站裸奔。攻击者一旦知道源站 IP，绕过清洗直接打（源站隐藏专讲这个）。

4.3 端口转发模式（NAT 型高防）

NAT 型没有独立 IP，高防转发时用「公网端口:内网端口」映射：

玩家连 高防IP:2456 → 清洗 → 转发到 你的内网IP:2456

游戏服常用。注意：有的游戏协议要求连续端口段（比如 Rust 的 28015 + RCON 28016），NAT 端口映射要确认能拿到连续段（见游戏高防）。

五、攻击源画像：清洗中心看到的攻击长什么样

被攻击时你能从商家后台/告警看到这些信息，读懂它们能帮你调整策略：

「PPS 比带宽更可怕」：1Gbps 的大包攻击好清洗，100Mbps 但 500 万 PPS 的小包攻击能把低端清洗设备打到性能上限——这就是为什么高防要看整机处理性能（bps + pps），不只是带宽数字。

六、源站隐藏：让攻击者找不到你的真实机器

清洗中心只能洗「流经它」的流量。如果攻击者绕过它直连源站，一切白搭。隐藏手段：

1. 对外只暴露高防 IP：域名解析到高防，源站 IP 不参与任何公网 DNS
2. 回源走专线/内网：源站甚至没有公网 IP（NAT 型天然适合——回源到内网，外部根本探测不到）
3. 证书与邮件分离：crt.sh 查证书、邮件服务器 IP 都可能暴露源站，敏感业务的源站证书用自签，邮件走第三方
4. 历史解析清理：域名以前裸奔过？老 IP 还在攻击者的扫描记录里，联系商家处理或换域名

NAT 型 + 高防回源是隐藏源站的性价比方案：源站就待在内网，清洗中心回源到网关端口映射，公网可见的只有高防 IP（迁移实操有完整步骤）。

七、怎么判断商家的清洗能力真假

原理懂了，用这几招验货：

1. 看架构名词：敢写清楚「BGP 多线接入 + 硬件清洗集群 + 三层回注」的，比只写「智能云防护」的靠谱
2. 问清洗设备型号/能力：专业商家会说整机处理能力（如「单集群 X Tbps + X 亿 PPS」），答不上来的可能是软防（用软件限流冒充）
3. 要测试：测试期间让商家配合做引流演示（或自己压测看监控曲线），真清洗的流量曲线是「攻击进、干净出、源站无感」
4. 看告警粒度：被攻击时告警里能不能看到攻击类型/峰值/PPS——看不到说明监控能力弱，出问题你糊里糊涂
5. 黑洞时长与自动解封：真高防洗不过来会黑洞且自动恢复；假高防只会让你的站「神秘变慢」

清洗原理与硬件选型的更多细节见高防避坑篇。

八、小结

高防不是玄学，是「检测牵引 → 分层清洗 → 回源回注」的工程系统：带宽层靠硬件集群和 SYN Cookie，应用层靠人机识别和频率控制。买高防本质是买「清洗能力 + 回源架构 + 告警响应」，三者缺一不可。而比清洗更重要的底线是源站隐藏——洗得再干净，源站暴露了就是给攻击者留了后门。

相关阅读：

• 高防服务器选购指南
• DDoS 攻击类型完全图解
• SYN Flood 与 TCP 防护专题
• 高防 CDN 和单机高防怎么选
• 源站真实 IP 隐藏完全指南
• 网站被攻击迁移高防实操

本文由财富云计算整理，我们提供高防服务器、CDN 防护与 NAT 型云服务器，无独立公网 IP 机型价格比独立 IP 省一半以上。业务对清洗能力、源站隐藏有要求的话，欢迎咨询。更多教程见端口速查表。

延伸阅读

1. 高防误区与避坑清单：25 个坑+下单前必问 14 问+到货验货流程
2. DNS 攻击防护专题：劫持、隧道、投毒、放大四类攻击与 DNSSEC
3. 电商大促防攻击预案：T-14 到当天的分级响应与降级开关
4. 源站真实 IP 隐藏完全指南：六大暴露面排查+NAT 型终极方案
5. 日志分析找攻击源：Nginx 日志三维度分析法与证据固定
6. 攻击应急响应手册：六阶段响应流程，从确认到复盘的照做清单
7. iptables 抗 DDoS 配置模板：状态过滤+SYN 防护+防扫描+游戏服版
8. OpenResty Lua 自研 WAF：动态限流+攻击特征检测+Redis 黑名单

更多阅读

1. 上一篇：高防服务器选购指南：防护带宽、独享共享、黑洞时长一篇看懂
2. 下一篇：CDN 防护与源站隐藏实战：回源白名单+子域名排查+证书分离