德讯高防云DDoS防护服务器正在遭受攻击时，先别急着大范围封禁地址或重启服务。先确认流量经过哪一层、哪些业务受影响，再逐项检查以下配置。这样既能缩短排查路径，也能减少把正常访问误判为攻击流量的风险。
先核对流量有没有进入防护链路
1. 防护覆盖的 IP、域名和端口
打开服务商控制台或网络设备配置，确认受保护的公网 IP、业务域名及实际开放端口均已纳入策略。检查新增解析、备用入口和管理接口是否遗漏；如果用户访问的 IP 没有经过防护节点，相关规则不会生效。对照访问日志中的目标地址与配置清单，确认流量路径一致。
2. DNS解析与源站回源
检查权威 DNS 记录是否指向防护服务要求的地址，代理状态是否符合接入方式。随后核对源站安全组或边界防火墙：仅允许防护节点及必要的管理来源访问业务端口。若源站公网地址曾直接暴露，应评估更换地址，并检查旧地址是否仍被解析或写入公开配置。否则攻击者可能绕过 DDoS防护服务器直接打到源站。
再检查拦截规则是否适合当前流量
3. 清洗阈值与触发方式
确认清洗阈值、自动触发条件和手动切换流程。阈值过高可能导致防护介入偏晚，过低则可能让正常流量频繁进入清洗。先查看攻击开始时间、流量变化和业务告警，再按服务商提供的基线调整；不同线路容量、业务峰值和协议类型都会影响合适范围，不宜照搬固定数值。
4. 访问控制与端口策略
核对防火墙、安全组和防护平台中的允许、拒绝规则，确认对外开放的端口确为业务所需。管理端口应限制到可信办公出口或专用运维通道；不再使用的端口及时关闭。规则有顺序时，重点检查宽泛的允许项是否排在限制项之前，避免看似配置了拦截、实际仍被前序规则放行。
5. 连接与请求速率限制
检查是否为登录、搜索、提交表单等高成本接口设置了速率限制。按账号、会话、来源地址或接口维度分别评估，避免只按单一 IP 限速而误伤共享出口下的正常用户。限制值应参考业务平时的请求节奏，并设置观察期；若误报增加，先缩小规则作用范围，而不是直接关闭所有限制。
确认应用层策略和故障处置可用
6. WAF规则与缓存设置
检查 Web 应用防火墙的规则模式、例外名单和日志，确认近期变更没有误拦正常请求。对可缓存的静态文件，核实缓存键、有效期和回源行为；动态内容则不应为了减轻攻击而盲目缓存，否则可能返回过期或不匹配的数据。DDoS防护服务器负责流量缓解，并不意味着应用规则无需单独核验。
7. 健康检查与切换目标
确认健康检查使用正确的协议、端口和检测路径，备用目标仍可提供必要服务。检查故障切换后 DNS、路由或负载均衡是否会把流量送回异常节点。切换前记录当前配置和回退条件；未经验证，不要同时修改多层路由，以免难以判断故障来自攻击还是配置变更。
8. 告警、日志与联系流程
确认流量异常、清洗触发、源站错误率和健康检查失败都能通知到值班人员。记录攻击开始时间、受影响地址、规则变更及业务现象，并保存平台日志供后续复盘。联系防护服务商时，提供时间范围、目标 IP、端口和告警截图等可核查信息，不要发送无关的用户敏感数据。
建议按这个顺序执行
- 确认受影响的域名、IP、端口和业务功能。
- 核对流量是否经过防护链路，并检查源站是否可被绕过。
- 查看清洗、访问控制、限速和应用规则的命中记录。
- 每次只调整一类配置，观察错误率、访问成功情况和告警变化。
- 恢复业务后复核备用路径与回退方案，记录最终配置。
排查DDoS防护服务器时，关键不是一次性叠加更多规则，而是确认流量路径、策略命中和业务状态彼此吻合。按这八项逐步核查，通常更容易找到配置缺口，并在缓解攻击的同时保留正常访问。
常见问题
攻击时可以直接重启服务器吗？
通常不建议把重启作为第一步。重启可能中断现有连接，却无法消除上游流量；应先判断问题位于网络入口还是应用进程，并按预案处理。
为什么接入防护后源站仍然变慢？
可能是源站地址仍可被直接访问，也可能是回源链路、应用处理能力或规则配置存在问题。分别核对源站访问日志、防火墙规则和防护平台的回源状态。
拦截规则越严格越好吗？
不是。过严规则可能阻断正常用户。应根据命中日志逐步收窄范围，并在调整后观察业务成功率和误拦截情况。
攻击结束后还要检查什么？
复核 DNS、访问控制、清洗策略和备用路径是否恢复预期状态，保留事件记录，并将有效的配置变更纳入后续运维流程。