TG咨询面对大流量攻击防护，很多团队首先想到的是购买更大的公网带宽。但带宽增加并不等于攻击流量消失：如果攻击包持续占满运营商接入链路，服务器仍可能无法接收正常请求；即使链路没有拥塞，源站连接数、CPU、内存或数据库连接池也可能先达到上限。因此，带宽扩容与流量清洗解决的是两个不同问题。
一、带宽扩容解决“装得下”，但不负责判断流量
带宽扩容通常包括提升云主机公网带宽、增加专线或多线出口、使用更高容量的边界路由器，以及通过多地域入口分散访问压力。它的核心作用是提高链路吞吐能力，让更多数据包能够到达网络边界。
这种方式适合流量主要来自正常用户，或者攻击规模尚未超过现有链路、但业务确实出现访问高峰的场景。例如，直播开播、公开报名、热门内容发布时，访问量上升可能伴随大量图片、视频分发请求。此时扩容可以减少网络拥塞，改善正常用户的下载和访问体验。
不过，带宽扩容无法区分真实访问与伪造请求。若攻击流量达到数百Gbps，而企业只有数十Gbps的接入能力，扩容不仅可能来不及生效，费用也会迅速上升。更重要的是，攻击流量一旦在上游链路形成拥塞，源站后面的防火墙和服务器通常已经没有机会处理它。
二、流量清洗解决“该不该放行”
流量清洗是将进入业务的流量引导至具备大容量接入和分析能力的清洗节点，由系统识别明显异常的数据包、连接行为或协议特征，再把相对干净的流量回送到源站。常见方式包括运营商清洗、云端清洗、BGP引流和专用防护线路。
在大流量攻击防护中，清洗中心通常会处理UDP反射、SYN Flood、TCP连接耗尽、异常ICMP流量等网络层或传输层攻击。针对HTTP、HTTPS等应用层攻击，则可能结合请求频率、协议完整性、会话行为和业务规则进行判断。具体能力取决于服务商的设备、清洗策略以及业务协议，不能把所有清洗服务视为同一产品。
两种方式的关键差异
| 比较项目 | 带宽扩容 | 流量清洗 |
|---|---|---|
| 主要目标 | 提高可承载流量 | 识别并拦截攻击流量 |
| 能否处理恶意流量 | 通常不能主动判断 | 可以按协议和特征进行过滤 |
| 适合场景 | 正常访问高峰、链路容量不足 | 明显攻击、上游链路被打满 |
| 主要风险 | 扩容后仍被攻击流量占满 | 误拦正常请求或引入额外延迟 |
| 部署重点 | 出口容量、路由和资源配额 | 引流、回源、策略和应急切换 |
三、如何判断应该扩容还是清洗
第一步，先区分“业务增长”与“攻击特征”。检查入口带宽、包速率、并发连接数、源站CPU、应用错误率和正常用户完成率。若请求量随活动预期增长，来源和请求路径较稳定，且服务器资源同步升高，优先考虑扩容与应用优化。若流量突然暴增、包大小异常、连接大量半开，或业务请求没有明显增加却出现出口拥塞，应优先启动流量清洗。
第二步，确认攻击层级。仅增加带宽对SYN Flood、UDP Flood等大规模网络攻击帮助有限；而面对少量但复杂的登录、搜索或下单请求，清洗服务也未必能准确判断业务意图，还需要在应用侧设置验证、限速和排队机制。
第三步，估算峰值而不是只看平均值。正常业务扩容时，可根据历史高峰、增长预期和冗余需求预留容量，常见做法是让规划容量高于预测峰值约30%至50%，但具体比例要结合业务波动、线路质量和供应商变更时间。攻击防护则应关注清洗能力、可承受的包速率、最大并发连接数和切换耗时，这些指标必须向服务商确认，不能只看“多少Gbps”的宣传数字。
四、组合方案的可执行步骤
- 建立基线。连续记录至少一个完整业务周期的带宽、每秒数据包数、并发连接、源站资源和错误率，分别保存正常高峰与异常时段数据。
- 准备清洗入口。确认业务IP、域名、证书、回源地址和路由归属，明确采用BGP引流、DNS切换还是线路级牵引。涉及HTTPS时，要提前确认清洗节点是否支持相应的转发模式。
- 设置分级策略。先拦截明显伪造、畸形和不符合协议的流量，再对高风险连接实施限速或挑战，避免一开始就使用过于严格的规则影响正常用户。
- 保留扩容余量。清洗回源后仍需要足够的源站和专线容量。可以通过多地域部署、静态内容分发和连接池保护降低回源压力，但这些措施不能替代攻击清洗。
- 演练切换与回切。明确谁负责通知、谁修改路由、谁验证业务，并准备DNS缓存、路由收敛和证书配置可能带来的延迟。攻击结束后，应观察一段稳定时间再回切，避免反复切换。
五、选择时容易忽略的成本
带宽扩容的成本通常与端口规格、计费方式、线路类型和地域有关，长期稳定使用时更容易预算，但扩容周期和上限必须提前确认。流量清洗则可能按防护峰值、清洗流量、月度套餐或事件次数计费，突发攻击期间的超额规则尤其需要写入合同或服务说明。
此外，清洗并不意味着零误伤。加密流量、长连接、WebSocket、实时音视频等场景，对转发方式和会话保持要求更高。评估大流量攻击防护方案时，应同时测试延迟、连接建立成功率、上传下载完整性和异常回切，而不是只比较防护带宽大小。
常见问题
带宽扩容后还需要流量清洗吗？
如果只是正常业务增长，未必需要；如果存在大规模攻击风险，扩容只能增加缓冲，不能替代流量识别和拦截。
流量清洗会不会影响正常用户？
可能会。规则过严、回源链路不足或协议兼容性不佳，都可能增加延迟或造成误拦，因此应先灰度验证并设置回退方案。
小型网站是否也要部署清洗？
应根据业务重要性、可接受中断时间和上游线路能力决定。无法承受数小时中断的业务，即使规模不大，也应至少准备应急清洗和切换联系人。
怎样制定大流量攻击防护预算？
同时计算正常峰值扩容成本、清洗服务成本、备用线路成本和应急运维成本，并将切换演练纳入计划，避免只购买带宽却没有可执行的防护流程。
总的来说，带宽扩容是增加道路容量，流量清洗是把危险车辆挡在道路之外。可靠的大流量攻击防护通常不是二选一，而是以清洗承担攻击流量，以合理扩容保障清洗后的正常流量和业务高峰。
