德讯高防云挑选 DDoS攻击缓解方案时，先问清楚一个问题：攻击流量是在应用请求层造成压力，还是已经挤满了网络入口？限流和流量清洗处理的位置、目标并不相同。只配置限流，未必能挡住大流量；只购买清洗服务，也不能自动解决每秒大量请求拖垮应用的问题。
以登录接口为例，短时间内请求数异常升高，可以对单个账户、来源或接口设置速率限制；如果链路带宽已被异常流量占满，请求还没到应用，应用侧限流便无从发挥作用。理解这条边界，是判断 DDoS攻击缓解能力是否匹配业务的起点。
先分清两种能力解决什么问题
限流：控制请求进入应用的速度
速率限制依据规则限制一段时间内的请求数量，常见位置包括应用网关、反向代理和 API 管理层。例如，Nginx 的 limit_req 模块可按配置限制请求速率。它适合保护登录、搜索、短信发送等容易被重复调用的接口，也能减轻突发请求对应用资源的消耗。
限流的优势是规则可以贴近业务，成本和部署复杂度通常较低；缺点是阈值设得过紧会误伤真实用户，而且请求如果已经耗尽入口带宽，应用层规则无法恢复链路可用性。它是 DDoS攻击缓解的一环，不等于整条网络链路的防护。
清洗：在流量抵达源站前过滤异常流量
流量清洗通常由网络侧或云端防护平台接收流量，通过规则和流量特征区分正常访问与攻击流量，再将可疑部分过滤。它的重点是保护入口和源站免受大规模流量冲击。服务可能采用代理接入，也可能在检测到攻击后引流处理；具体方式取决于服务商、网络架构与接入配置。
清洗能应对入口侧的压力，但不保证所有业务异常都会消失。规则判断、流量转发和接入变化可能带来额外延迟；若正常用户的访问特征与攻击流量相近，也需要调整策略。评估 DDoS攻击缓解服务时，应确认它覆盖哪些流量类型、如何接入，以及攻击结束后怎样恢复常态路由。
按故障位置匹配方案
| 观察到的压力 | 优先评估 | 需要留意 |
|---|---|---|
| 少数接口请求暴增，应用资源先告急 | 接口限流、身份验证、缓存与应用扩容 | 阈值须区分访客、用户和业务高峰，避免误拦正常请求 |
| 入口链路拥塞，源站连接难以建立 | 上游流量清洗或具备清洗能力的云端防护 | 确认防护范围、接入路径、容量边界和故障切换方式 |
| 攻击既有大量流量，也有针对业务接口的请求 | 清洗与应用层限流组合 | 分别设置网络侧和业务侧告警，不要依赖单一阈值 |
黑洞路由有时会被用于保护网络：将遭受攻击的目标流量整体丢弃，可避免攻击继续影响其他资源，但目标服务也会随之不可达。它属于应急取舍，不是保留业务访问能力的清洗方案。购买 DDoS攻击缓解服务前，应问清服务商在达到处理边界时采取何种措施。
新手可按这四步核对
- 画出流量路径。标明用户请求经过的网络入口、代理、网关和源站，确认限流规则在哪一层生效。
- 列出关键业务与可接受影响。区分登录、查询、支付等接口的容忍程度，明确哪些请求可以排队、拒绝或降级。
- 逐项核验服务能力。询问防护覆盖范围、告警渠道、清洗启停流程、误拦处理方式，以及是否需要修改解析或路由。
- 预先演练并记录基线。在获准的测试环境中逐步验证规则，观察正常时段的请求量、延迟和错误率；不要未经授权对公网目标发起压力测试。
比较方案时，不要只看宣传中的单一容量数字。可用能力会受到接入方式、流量类型、策略配置和服务条款影响。更有用的问题是：攻击发生后谁负责确认、多久能启用处理、业务方如何报告误拦，以及达到限制时服务会如何处置。
常见问题
只有限流，能否防住 DDoS攻击？
不能一概而论。限流可减少到达应用的请求压力，但无法处理已经堵塞网络入口的流量；需要根据攻击位置补充上游防护。
接入清洗后，还要保留限流吗？
通常仍有价值。清洗保护网络入口，限流保护具体接口和应用资源，两者处理层次不同，规则应避免互相冲突。
怎样判断误拦是否严重？
同步观察正常请求的成功率、延迟、用户反馈和拦截日志，并按业务时段复核阈值。发现误拦时先定位规则与受影响接口，再谨慎调整。
选择 DDoS攻击缓解方案，关键不是在限流与清洗之间二选一，而是确认攻击可能出现在哪一层，再用对应能力补齐缺口。把接入方式、误拦处置和应急流程一并核实，方案才更接近真实业务需要。