業務經常遭受DDoS攻擊如何選擇DDoS高防服務 - Anti-DDoS

DDoS高防是一項代理防護服務，用於保護業務免受大規模分散式阻斷服務（DDoS）攻擊。它通過將業務流量重新導向至遍布全球的高防清洗中心，過濾惡意攻擊流量，僅將合法的業務流量轉寄回來源站點伺服器，從而確保業務在攻擊下的穩定性和可用性。

工作原理

DDoS高防通過以下三個步驟保障您的業務穩定運行：

流量牽引：通過修改DNS解析或將業務IP指向高防IP，將來自公網的訪問流量全部牽引至高防清洗中心。更多內容，請參見下文流量牽引方式。
流量清洗：高防清洗中心利用多層檢測與過濾引擎，有效防禦SYN Flood、UDP Flood等L3/L4流量型攻擊，並對HTTP Flood等L7應用程式層攻擊提供防護。惡意攻擊流量在此被精準識別並丟棄。
流量回源：清洗後的正常訪問流量，通過連接埠協議轉寄的方式安全、穩定地返回給您的來源站點伺服器。

流量牽引方式

需要通過以下任一方式，將業務流量引導至高防IP進行清洗。

引流方式	描述	適用情境	優點	缺點
DNS解析	將業務網域名稱（如`www.example.com`）的DNS記錄修改為DDoS高防提供的CNAME地址。	網站、Web應用、API等通過網域名稱訪問的業務。	配置簡單，生效快，便於在攻擊時快速切換。	無法防護直接針對來源站點IP的攻擊。
IP直接指向	在DDoS高防執行個體中配置轉寄規則，將高防IP作為業務入口，回源至真實伺服器IP。用戶端直接存取高防IP。	遊戲、App後端服務等通過IP直接存取的非網站業務。	可直接防護IP，隱藏來源站點。	切換IP可能影響部分用戶端的串連。

產品優勢

快速簡便的部署
提供DNS解析和IP指向兩種接入方式，無需安裝軟硬體或調整路由，通常可在數分鐘內完成接入配置（具體耗時取決於 DNS 生效時間等因素），並隱藏來源站點IP，保護來源站點安全。
AI驅動的智能精準防護
- 網路層攻擊防護： 在傳統特徵識別等技術之上，結合 IP 信譽庫與深度包檢測（DPI），精準識別並阻斷各類流量型攻擊。
- 應用程式層CC攻擊防護： AI引擎自動學習業務模型，精準識別並過濾CC攻擊流量，支援精細至URL層級的防護策略，大幅降低營運難度。
全球化海量防禦能力
DDoS高防全球防護網路總頻寬超過20 Tbps，其中非中國內地防護頻寬超過5 Tbps，能有效抵禦網路層、傳輸層和應用程式層的各類DDoS攻擊，保障業務全球訪問體驗。
靈活的彈性防護
支援線上自助升級防護頻寬，秒級生效。面對突發攻擊可隨時提升防禦能力，且業務無需任何調整，服務不中斷。
金融級穩定高可用
採用全冗餘架構，對機房、伺服器、引擎和鏈路進行全方位監控，具備完善的自動故障切換和恢複機制，保障99.95%的服務可用性。
智能流量調度
可與雲上其他產品聯動，實現攻擊發生時自動將流量調度至DDoS高防，平時則不介入，兼顧成本與安全。

產品規格

DDoS高防根據商務服務器所在的物理地區，分為DDoS高防（中國內地）和DDoS高防（非中國內地）兩大類。

商品類型	執行個體版本	核心特點與區別	備忘
DDoS高防（中國內地）	專業版	獨享IP，多線BGP防護，支援保底與彈性防護。	-
DDoS高防（中國內地）	進階版	每月提供2次進階防護（每月重設）。	開通需聯絡商務經理。
DDoS高防（非中國內地）	保险防护、无限防护	保險防護與無限防護均適用於純海外業務，區別在於計費模式、容量及進階防護次數（前者每月2次，後者無限制）。為避免中國內地使用者訪問境外網站延遲，建議配合安全加速線路使用，更多內容參見配置DDoS高防（非中國內地）安全加速。	-
	安全加速線路2.0	提供中國內地訪問加速、應用程式層DDoS防護，選擇一定數量的DDoS防護次數後，具備電信、聯通、移動線路的大流量DDoS攻擊防護能力。	無
	安全加速線路2.0（保險版）、安全加速線路2.0（無限版）	功能與2.0基本相同，支援禁用95彈性業務帶寬模式、95彈性QPS模式。	功能已遷移至安全加速線路2.0，不推薦新購，僅保留存量執行個體。
	加速線路、安全加速線路1.0	舊版本，不支援移動線路。	不推薦新購，建議升級至安全加速線路2.0，開通需聯絡商務經理。

關於IP註冊地：「IP註冊地」僅指DDoS防護執行個體IP的登入位址，用於滿足合規要求，並非實際防護資源或清洗叢集的物理部署位置。阿里雲DDoS防護採用全球Anycast網路架構，無論選擇哪個IP註冊地，業務流量都會就近接入距離最近的清洗中心進行防護。即使選擇了非日本地區的IP註冊地，部署在日本的來源站點伺服器依然能獲得高效、低延遲的防護效果，該配置不影響實際防護效能。

Anti-DDoS Pro是固定IP嗎？受攻擊時是否會變化？

DDoS高防執行個體分配的是獨享固定IP，購買後IP地址不會變化，可長期使用。即使在受到DDoS攻擊或流量清洗過程中，該IP地址也保持不變，確保業務接入的穩定性。

購買DDoS高防後，系統會分配新的高防IP。來源站點IP本身不受高防直接保護，需要完成接入配置後防護才會生效：

網站業務：將網域名稱的DNS解析修改為高防提供的CNAME地址，將訪問流量牽引至高防清洗中心。
非網站業務：在高防執行個體中配置連接埠轉寄規則，將用戶端的訪問目標IP直接指向高防IP。

常見情境及選購建議

伺服器部署地區	使用者來源	業務需求	推薦版本
中國內地	中國內地及非中國內地	通用DDoS防護。	DDoS高防（中國內地） - 專業版
非中國內地	非中國內地	無需跨境訪問加速。	DDoS高防（非中國內地） - 保险防护或无限防护
非中國內地	中國內地	需要跨境訪問加速，保障低延遲和穩定性。	DDoS高防（非中國內地）-安全加速線路2.0
非中國內地	中國內地及非中國內地	在不遷移伺服器的情況下，既要滿足跨境訪問加速，又要保證業務非中國內地訪問需求。	組合購買： DDoS高防（非中國內地）-安全加速線路2.0 DDoS高防（非中國內地） - 保险防护或无限防护
非中國內地	中國內地及非中國內地	業務可按使用者來源進行伺服器遷移，實現跨境訪問。遷移後，不同地區的使用者訪問由不同地區的伺服器以及防護版本承載。	中國內地使用者的業務：DDoS高防（中國內地） - 專業版非中國內地使用者的業務：DDoS高防（非中國內地） - 保险防护或无限防护

產品計費

DDoS高防的費用由預付費的執行個體費用和後付費的彈性費用組成。

執行個體費用（預付費）：根據選擇的保底防護頻寬、業務頻寬、QPS等規格按月或按年支付。費用詳情，請參見DDoS高防（非中國內地）保險防護和無限防護計費說明、DDoS高防（非中國內地）加速線路計費說明、DDoS 高防（非中國內地）安全加速線路計費說明。
彈性防護費用（後付費）：僅當DDoS攻擊流量超過保底防護頻寬時，按天根據實際攻擊流量峰值計費。費用詳情，請參見彈性防護頻寬計費方式。
彈性業務頻寬/QPS費用（後付費）：僅當正常業務流量或QPS超過保底規格時，按日或月95峰值計費。費用詳情，請參見彈性業務頻寬計費說明、彈性QPS計費說明。
進階防護資源套件： 針對特定執行個體，還可以按需購買進階防護資源套件。費用詳情，請參見進階防護資源套件計費說明。

DDoS高防、DDoS基礎防護和ESA（邊緣安全加速）有什麼區別？

三者在防護定位和適用情境上各有側重：

對比維度	DDoS高防	DDoS基礎防護	ESA（邊緣安全加速）
適用情境	攻防對抗激烈、需防禦大流量及應用程式層CC攻擊的業務	小規模攻擊防護，適用於可中斷的非核心業務	對延遲敏感、以邊緣加速和內容分發為主要訴求的業務
防護能力	專業級深度防護，支援保底+彈性防護頻寬，可防禦L3/L4流量型攻擊及L7 CC攻擊	平台級基礎防禦，覆蓋基礎DDoS攻擊	內建基礎DDoS防護（預設提供與DDoS基礎防護相當的能力），非專業DDoS防護產品
流量接入方式	DNS牽引至專用清洗中心或IP直接指向高防IP，可隱藏來源站點IP	無需配置，平台自動防禦	通過全球分布式邊緣節點進行流量分發和加速
費用	付費產品，按保底防護頻寬、業務頻寬等規格計費	免費	按邊緣加速使用量計費；增強DDoS防護需單獨申請

選型建議：

業務面臨大規模DDoS攻擊或CC攻擊風險：選擇DDoS高防，獲得專業級深度防護。
業務規模較小且對短暫中斷有一定容忍度：DDoS基礎防護的免費防禦能力可滿足基本需求。
核心訴求是邊緣加速且DDoS風險較低：選擇ESA；若同時面臨較大DDoS風險，建議配合DDoS高防使用。