DDoS（分散式阻斷服務，Distributed Denial of Service）攻擊，是任何依賴在線營運的企業最常見、也最具破壞力的威脅之一。想像凌晨兩點的告警：監控曲線瞬間拉直、手機開始狂震，幾分鐘內你的結帳頁就對客戶回傳逾時，而客戶已經打開競爭對手的 App。如果你曾搜尋「DDoS 防護」卻被一堆術語搞得暈頭轉向，這篇指南會用工程師的語言（而不是行銷話術）帶你搞懂攻擊原理、主要攻擊類型，以及現代防護到底怎麼運作。

DDoS 攻擊到底做了什麼

說白了，DDoS 攻擊就是用垃圾流量灌爆你的伺服器、網站或 API，直到真實用戶根本連不進來。攻擊者控制著一個殭屍網絡（botnet）——往往是數百萬台被 Mirai 等惡意程式感染的家用路由器、IP 攝影機與物聯網裝置——並命令它們在同一瞬間發送請求。結果就是：在服務到任何一個真實用戶之前，你的頻寬、連接表或 CPU 就已經被耗盡。

真正殘酷的是它的規模經濟。租用一個殭屍網絡，就能打出數 Tbps（兆位元／秒）的流量。公開記錄中最大型的攻擊已經突破 5.6 Tbps，並且能維持每秒數百萬個封包（PPS）——這遠遠超出任何單一企業的上行鏈路所能承受。更麻煩的是，攻擊主機散佈在數千個自治網路中，根本不存在「關掉一台伺服器」就能解決的單點。

關鍵字是「分散式」。流量來自數以千計的不同來源，這也正是為什麼單純封鎖一個 IP 毫無意義——你得多封鎖相當大一部分的整個網際網路，結果是連真實用戶一起拖下水。

DDoS 攻擊的三大類型

DDoS 攻擊通常按目標層級來分類。弄清楚類型很重要，因為每一類需要的防禦手段都不一樣：

  • 容量型（Volumetric）——UDP Flood、TCP Flood，以及利用 NTP、DNS、SSDP、Memcached 進行反射／放大攻擊。這類攻擊靠原始流量把你的頻寬淹沒。放大型攻擊是這裡的「力量倍增器」：一個小小的偽造請求就能觸發巨大的回應。真實世界的放大倍數包括 DNS 約 28–54 倍、NTP 約 556 倍、SSDP 約 30–50 倍，而 Memcached 最高可達約 50,000 倍。因此，一條 1 Gbps 的指令流，最終可能變成衝著你來的 50 Tbps 海嘯。
  • 協議型（Protocol）——SYN Flood、ACK Flood，用來耗盡你的伺服器、負載平衡器或防火牆的連接表。這類攻擊幾乎不需要頻寬——幾十萬個半開連接，就能讓一台標稱「10 Gbps」的有狀態設備卡死，因為它遠在頻寬耗盡之前，就先耗光了會話槽位。
  • 應用層（L7）——CC 攻擊、HTTP Flood，以及偽裝成合法用戶行為、直接攻擊業務邏輯的惡意爬蟲。它們很慢、看起來像真實流量，只要對搜尋或登入這類昂貴的接口每秒打出幾百個請求，就能把整個網站打掛。

不同類型需要不同防禦，這也正是為什麼單層防護在面對混合攻擊時往往失效——攻擊者會直接轉向你最薄弱的那一層。

為什麼傳統防禦會失效

許多團隊以為，多買點頻寬、或者打開雲端防火牆，問題就解決了。但實際上：

  1. 反射放大攻擊能把一個小請求變成放大數千倍的回應，因此就算頻寬再充裕也會被塞滿。面對 50,000 倍的放大倍數，你不可能靠買更粗的管道來抵消。
  2. 雲端廠商往往會在攻擊期間對你計量收費——有些甚至在你沒有預付時，直接把你的服務「黑洞」（null-route）隔離。更糟的是，攻擊期間的出口頻寬常常被套用最高級距計費，使得「防護」的代價可能比停機本身還貴。
  3. 應用層攻擊看起來就像正常流量，因此有狀態（stateless）的防火牆規則無法可靠地區分它們。一個對 /api/search?q=shoes 的請求，在你看懂行為——速率、指紋、意圖——之前，和真實請求毫無二致。

正是這道鴻溝，催生了專業的 DDoS 防護服務：它們在你源站之前，佈署了你無法以合理成本自行建置的清洗容量與檢測能力。

兩層清洗防護架構

AwayDDoS 採用兩層清洗架構，在攻擊抵達你的源站之前就把威脅清洗掉：

  1. 第一層——近源清洗。全球邊緣節點在最接近攻擊源頭的位置牽引並稀釋容量型洪峰，秒級吸收數 Tbps 的峰值，保持你的上行鏈路暢通。
  2. 第二層——深度清洗。清洗中心對協議特徵與流量行為做深度過濾，精準攔截穿過第一層的 CC 攻擊、SYN Flood 與殭屍網絡流量。合法用戶會被標記並放行；一切可疑流量則被挑戰或丟棄。

完整的架構圖與流量走向，請參考〈運作方式〉（How It Works）；真實案例成果，請瀏覽我們的〈客戶案例〉（Case Studies）。

如何開始接入

好消息是：接入通常不需要改動你現有的架構。

  • 網站與 API——更新你的 DNS 紀錄（或直接把 A／AAAA 紀錄交給我們），指向防護邊緣節點。分鐘級生效，無需改動程式碼。
  • 既有網路——使用 GRE 或 BGP 隧道，在不動既有基礎設施的前提下，把流量導經防護清洗。當你想用自己的 IP 段透過我們的清洗網路廣播時，BGP 是理想選擇。
  • 零運維——直接託管在受保護的伺服器上，從路由到調優，全部交給我們 7×24 小時打理。

三種部署模式的並排比較，請見〈防護方案〉（Protection Solutions）。

一個常見誤區

「我們太小了，不會被盯上。」——事實上，DDoS 工具已經高度商品化。暗網上的 booter、stresser 服務，租用 100 Gbps 的殭屍網絡大約每月 30 美元，短促攻擊的價格不過一杯咖啡錢。競爭對手、勒索者、無聊的攻擊者，人人都買得到。任何依賴在線率的企業，都該未雨綢繆，而不是事後反應。

重點整理

DDoS 防護的本質，就是在攻擊抵達源站之前把雜訊清洗掉，只讓乾淨流量通過。這個威脅早已不是理論：攻擊規模已突破 5 Tbps、殭屍網絡按小時租用，而放大攻擊讓一個微小的攻擊者也變得危險。AwayDDoS 結合龐大的全球清洗容量、兩層清洗架構，以及 7×24 小時專家值守，兌現我們的承諾：Keep DDoS Away, Keep Online Always（讓 DDoS 遠離，讓業務始終在線）。

正在評估廠商？請讀〈如何選擇 DDoS 防護服務：5 個關鍵指標〉（How to Choose a DDoS Protection Provider: 5 Key Metrics），或聯絡我們進行一次顧問式評估。