凌晨告警：入向流量85Gbps，源IP分散在两千多个肉鸡节点。这是宁波机房某游戏客户上周遇到的真实攻击。他租用的高防服务器套餐标注“100G防护”，但很多人不知道的是，这个100G到底指什么——是黑洞阈值、清洗阈值，还是总带宽上限？如果误以为是前者，可能攻击还没到100G业务就先断了。
一、宁波机房的区位优势与高防资源现状
宁波靠近上海国际出口，城域网延迟对华东用户基本能控制在5-10ms。但真正决定高防效果的，不是地理距离，而是机房接入的清洗设备品牌、牵引链路的冗余程度，以及上联运营商是否有独立的流量清洗中心。择快云宁波节点在电信/联通双线BGP基础上，额外接入了自研的流量牵引平台，这意味着当攻击流量进入骨干网之前，就能在省级汇聚层被识别并清洗。
相比一些小机房所谓“高防”只是买了台抗D设备放在出口，宁波节点的高防资源调度依赖的是AS域内的近源清洗。通俗讲，攻击流量还没挤进你的业务端口，就在上游被丢包和限速了。这种方式的优势是TCP连接不会被强制重置，对游戏长连接和APP接口更友好。
二、100G防护套餐的真实能力拆解
择快云宁波高防服务器提供多个档位，这里以“标准型100G防御”套餐为例：8核16G内存/240G SSD/50Mbps独享带宽/1个高防IP。很多用户看到100G就认为可以扛住任意100G以下攻击，但实际上，防护阈值分为清洗阈值和黑洞阈值。清洗阈值通常设为攻击流量的80%，即80G触发清洗，剩余20%作为弹性缓冲。而黑洞阈值往往略高于100G，如果攻击超过105G且持续超过3分钟，系统会暂时黑洞牵引，避免影响同机柜其他客户。
这意味着：标注100G防护不代表每秒都能吞吐100G攻击流量，而是指攻击峰值在100G以内时，业务IP不会被黑洞，同时清洗设备有能力在不显著增加延迟的前提下丢弃绝大多数攻击包。真正的清洗能力还取决于攻击类型——SYN Flood、UDP Flood、CC攻击的清洗策略完全不同。
2.1 SYN Flood与UDP Flood的清洗差异
SYN Flood依靠伪造源IP，清洗设备需要维护半连接表并配合首包丢弃、源认证等技术。在100G防护下，若攻击为纯小包SYN Flood，实际可清洗峰值通常能到标称值的60%-70%，因为小包会消耗大量PPS（每秒包转发率），而不是带宽。择快云的清洗集群针对这类攻击做了PPS限速和指纹识别，能过滤掉80%以上的伪造SYN包。UDP Flood则更容易清洗，因为大部分UDP攻击是无状态的，直接按端口和负载特征丢弃即可。
2.2 CC攻击：100G带宽扛不住1000QPS的恶意请求
很多用户以为高防服务器就是防流量型攻击，结果碰到CC攻击（HTTP Flood）时，带宽还没跑满，CPU和数据库连接先崩了。宁波节点的100G套餐标配了7层WAF规则，可以按URL、User-Agent、Cookie、源IP频率进行人机识别。但需要注意的是，CC防护的效果取决于后端应用是否有缓存和限流机制。如果源站代码没有做基本的请求排队，再强的清洗也会被慢速攻击拖垮。
三、用户最该关心的四个问题
3.1 攻击超过100G怎么办？
标准做法是接入更高等级的防护套餐，比如200G或300G，或者购买弹性防护。择快云宁波节点支持按天升级防护阈值，攻击过去后再降级，避免长期为高防买单。另外，有些攻击是瞬时峰值，比如持续10秒的120G脉冲，这种情况下清洗设备会临时借调其他空闲资源，不一定会直接黑洞。真正危险的是持续30分钟以上的满带宽攻击，这时候必须联系运维做路由调整。
3.2 宁波高防服务器的网络延迟和稳定性如何？
从第三方监控数据看，宁波到上海、杭州的ping值在6-9ms，到广东在25ms左右，到北京约30ms。对于面向全国用户的业务，这个延迟属于中等偏上水平，但高防线路的特殊之处在于攻击发生时，正常流量走清洗设备会额外增加1-3ms延迟。择快云采用旁路清洗，只有攻击流量被牵引到清洗中心，正常流量直接转发，所以平时延迟与普通BGP线路无差异。
3.3 游戏、金融、APP分别怎么选套餐？
游戏业务最怕TCP连接被重置，所以必须选择支持SYN Cookie和连接保持的清洗策略，同时需要较低的延迟。金融业务对HTTPS加密流量的清洗要求更高，需要支持SSL卸载和证书透传。APP则要关注API接口的CC防护和短信验证码接口的保护。择快云宁波节点的100G套餐提供了不同的业务模板，可以在控制台一键切换，避免手动调参出错。
3.4 真实防御效果怎么测试？
不建议用第三方压测工具直接打真实IP，因为可能触发机房黑洞甚至被运营商封禁。正确做法是联系机房运维，使用他们内部的攻击模拟平台，或者购买专业的DDoS测试服务。择快云提供每周一次的免费压测，在业务低峰期模拟不同攻击类型，用户可以观察清洗日志和监控曲线，验证套餐的实际能力。
四、性价比与长期运维考量
宁波高防服务器的价格普遍低于上海、杭州同等级节点，但高于普通BGP服务器。100G防护套餐的月付成本大概在两千到四千元区间，具体取决于带宽大小和IP数量。对于月流水几十万的游戏或电商，这个成本是合理的；对于个人站长或小型论坛，可以选择低配的50G防护起步。需要注意的是，高防服务器不是一劳永逸的，攻击手法在进化，清洗规则需要定期更新。择快云每两周推送一次防护策略更新，用户应及时确认是否影响业务。
此外，数据备份和高防要分开：高防解决的是可用性问题，备份解决的是数据完整性问题。很多用户只关注前者，结果攻击打不进去但数据库被勒索加密，一样完蛋。
五、总结
选择宁波高防服务器，核心不是看标称的“100G”有多大，而是看清洗架构是旁路还是串联、是否有近源清洗能力、7层防护的规则是否可定制。择快云宁波节点的标准型100G套餐在中小规模DDoS攻击下表现稳定，对于游戏和APP类业务是性价比较高的选择。但在部署前，务必先做一次完整的攻击模拟和业务压测，把阈值、策略、回源地址都调好，避免被攻击时才手忙脚乱。
