德讯高防云攻击流量已经被拦在边缘，源站却仍被直接访问；或者限流规则生效后，正常用户也无法登录——这类问题往往不是“有没有防护”，而是配置是否完整。企业DDoS防护应同时考虑流量入口、源站暴露、业务规则和应急流程，不能只依赖单个产品开关。
五个容易忽略的配置误区
1. 只覆盖网站入口，遗漏其他公网服务
CDN或云端流量清洗通常能保护接入其网络的服务，但不代表企业所有公网地址都自动受保护。先盘点域名、公网地址、端口和对外服务，再确认每项是否纳入防护范围。若邮件、远程管理或其他业务有独立入口，应分别核实保护方式，避免攻击绕过网站入口直达服务。
2. 接入代理后，源站仍可被直接访问
如果攻击者能绕过代理访问源站，边缘防护就可能失去作用。核对源站访问控制，只允许指定代理出口或可信网络连接；管理入口则通过专用访问通道限制来源。调整前先确认健康检查、运维和回源地址也在允许范围内，避免误封造成业务中断。
3. 把WAF规则当成所有攻击的解决方案
WAF主要依据应用层请求特征执行规则，适合处理异常请求、常见漏洞利用及部分资源消耗型访问；大规模流量冲击还需要上游网络具备相应的识别与清洗能力。配置时分别问清楚：哪些流量会被检测、清洗在哪个网络位置进行、超出服务能力时如何通知和升级。
4. 限流阈值不看正常业务差异
对所有路径套用相同的速率限制，容易误伤登录、搜索等高频功能，也可能放过耗费资源更高的接口。先按路径和用户行为分类，再为敏感操作设置独立规则。可观察连续7至14天的访问峰值作为初始依据；若使用峰值的约1.5至2倍作为告警参考，应先在测试或观察模式验证，阈值仍需按业务周期、用户规模和攻击情况调整。速率限制不能替代身份校验和资源保护。
5. 有告警，却没有清晰的处置责任
告警无人确认、供应商联系人不明确，都会拖慢响应。明确谁负责判断影响、谁有权限调整规则、谁通知业务负责人，并预先保存服务商支持入口与升级路径。记录切换防护、临时封禁和恢复配置的审批要求，避免故障期间临时寻找负责人。
上线前的基础核对步骤
- 列清资产：汇总公网域名、地址、服务端口、源站位置和业务负责人；标出未经过代理的入口。
- 验证防护边界：核对哪些入口启用了流量清洗、哪些由CDN或WAF处理，并确认非网站服务是否另有方案。
- 检查源站访问：从受控网络测试代理转发和健康检查；确认非授权来源无法直连，保留必要运维通道。
- 检查规则影响：查看限流、访问控制和缓存策略对登录、支付或提交等关键流程的影响；先观察或小范围启用，再逐步扩大。
- 准备响应信息：记录告警渠道、值班人员、服务商支持方式、业务降级选项和恢复条件，并定期演练。
如何判断配置是否可用
复核时不要只看控制台显示“已开启”。要确认流量是否确实经过预期防护路径，源站是否仍有旁路，异常告警是否能到达值班人员，以及规则变更后关键业务是否正常。把配置结果、责任人和复核日期写入资产记录，地址、服务或供应商发生变化时同步更新。企业DDoS防护的基础目标，是让攻击入口可控、异常可发现、处置可执行，并让正常访问尽量不受影响。
常见问题
接入CDN就等于完成防护了吗？
不等于。还需确认源站不能被绕过访问，并核实其他公网服务是否纳入保护。
WAF能防住所有流量攻击吗？
不能。它主要处理应用层请求规则，网络层流量冲击还需由具备相应能力的上游防护处理。
限流阈值应该设多少？
没有适用于所有业务的固定值。先观察正常峰值，按接口用途分别设置，再通过日志和误拦情况逐步调整。