先给结论
DDoS 防护没有适用于所有业务的固定价格。业务应先统计至少 7 天的正常带宽与请求峰值，再结合历史攻击峰值、需要保护的协议、可接受中断时间和响应等级确定方案。
DDoS 攻击通过大量分布式流量或连接消耗网络与系统资源，使正常用户无法访问。防护重点是识别异常流量、在源站之前完成清洗，并避免真实源站地址继续暴露。
影响 DDoS 防护成本的因素
| 因素 | 影响 | 评估方法 |
|---|---|---|
| 正常业务带宽 | 决定基础转发和清洗资源 | 统计工作日、活动期和突发峰值 |
| 历史攻击峰值 | 影响所需清洗容量 | 记录峰值、协议、持续时间和频率 |
| 业务协议 | 网站、API、游戏等策略不同 | 列出域名、端口、TCP/UDP 与 HTTPS 情况 |
| 可用性要求 | 冗余、监控和响应等级会影响成本 | 估算停机损失和可接受恢复时间 |
比较方案时应同时确认超量处理、回源策略、误拦截处置、日志能力和服务响应范围，不能只看标称防护带宽。
常见防护方案怎么选
| 方案 | 适用场景 | 需要关注 |
|---|---|---|
| 高防 IP | 需要保护现有源站、可调整 DNS 或转发架构 | 源站隐藏、协议支持、切换和回源配置 |
| 高防服务器 | 可以迁移业务，且需要机房侧防护资源 | 迁移成本、数据同步、单点与扩容能力 |
| 高防 CDN | 以网站静态与 HTTP/HTTPS 业务为主 | 回源保护、流量计费、缓存与动态请求能力 |
| WAF | 防护 SQL 注入、XSS、恶意扫描和应用层请求 | WAF 不能替代网络层大流量清洗 |
多数网站需要组合使用流量清洗、源站隐藏、访问控制和 WAF，而不是依赖单一产品。
选择方案前的四个步骤
- 整理域名、源站 IP、开放端口和业务协议。
- 统计正常流量、请求峰值以及历史攻击数据。
- 确认源站是否通过 DNS 历史、子域名或邮件服务暴露。
- 明确预算、可接受中断时间、日志和技术响应要求。
需要评估当前业务风险？
先进行基础检测，再根据实际架构确认防护范围。