德讯高防云防护服务已经开通，攻击流量却仍能打到源站，常见原因不是“防护失效”，而是某个域名、端口或回源入口没有纳入防护。评估 DDoS防护方案时，别只比较标称防护能力；以下五项要逐一核对，尤其是接入范围、回源路径和费用边界。
一、先确认防护范围：域名不等于所有入口
列出需要保护的公网资产，包括域名、IPv4 地址、IPv6 地址、对外端口和实际业务协议。基于域名接入的服务通常保护指定域名对应的应用流量，但不一定覆盖同一主机上的其他域名、非 HTTP 服务或直接访问源站 IP 的流量。基于 IP 接入则要确认支持的协议、端口以及是否需要调整网络路由。
检查 DNS 记录、旧解析、邮件或远程管理等独立入口，确认它们是否需要防护。若源站 IP 可从公开记录或历史配置中找到，攻击者可能绕过代理直接访问。把资产清单与服务商确认的防护对象逐项对照，避免把“已购买”误当成“已覆盖”。
二、核对攻击类型与处置边界
网络层的 UDP 洪泛、ICMP 洪泛和 TCP SYN 洪泛，与应用层的大量慢请求并非同一种问题。不同 DDoS防护方案的检测和清洗能力有差异：有的侧重链路层流量清洗，有的还提供应用层规则或人工协助。确认服务具体支持哪些协议、端口和攻击特征，以及误判时如何申诉或调整策略。
还要问清超出防护能力后的处理方式。有些网络可能在异常流量影响扩大时触发黑洞路由，使目标地址暂时无法访问；这能保护更大范围的网络，却会牺牲该地址的可用性。应确认触发条件、通知方式、解除流程和预计影响范围，不要只看宣传中的防护容量。
三、回源链路要可用，也要不被绕过
流量清洗后，合法请求仍需到达源站。核对回源协议、源站端口、证书校验、源站白名单和健康检查方式；若回源带宽小于高峰业务所需，攻击虽被挡在前端，正常用户仍可能因回源拥塞而变慢。反过来，若源站对公网开放且没有限制非防护节点访问，攻击者可能绕过清洗入口。
调整访问控制前，先确认服务商公布的回源地址范围及变更通知渠道，再在源站防火墙中仅允许必要来源，并保留管理和故障排查所需的访问路径。不要未经验证就封禁全部外部来源，否则可能连监控、发布或备用入口一起切断。
四、把切换和故障回退写成步骤
接入方式可能涉及 DNS 解析变更、路由调整或应用代理配置。切换前评估 DNS 缓存、证书、会话保持和长连接的影响；DNS 记录的生效时间受缓存与 TTL 设置影响，不能假定所有用户同时切换。
- 记录当前解析、路由、防火墙规则和源站健康状态，准备可恢复的配置。
- 先选低风险入口或测试域名接入，核对解析结果、证书和真实业务请求。
- 通过后分批扩大范围，并观察错误率、响应时间和回源连接情况。
- 预先约定回退条件、操作权限与联系人；发生异常时按既定步骤恢复，而非临时猜测原因。
五、费用不能只看基础套餐
比较 DDoS防护方案时，确认费用按固定套餐、流量峰值、清洗流量、带宽、请求量还是额外处置计收。还需查明超额后的限速、暂停或加价规则，以及日志留存、技术支持和紧急变更是否另收费。计量周期和“峰值”的计算口径可能因服务商而异，应要求以合同或服务说明中的定义为准。
用自身业务的正常峰值、可接受的突发幅度和预算做比较，不要把某个公开的防护数值当作实际可用承诺。若无法取得可信的历史流量数据，可先建立基线，再按观察结果调整套餐；同时确认攻击期间的费用上限或告警机制。
签约前的五项核对清单
- 范围：域名、地址、协议、端口和备用入口是否逐项覆盖？
- 能力：清洗类型、处置边界和黑洞策略是否说清？
- 回源：链路容量、来源限制和故障排查路径是否验证？
- 切换：测试、监测与回退流程是否有人负责？
- 费用：计费口径、超额处理和支持服务是否可查？
把答案落实到配置清单和服务条款，再确定 DDoS防护方案，比只按单一防护指标排序更稳妥。
常见问题
只保护域名可以防止直接攻击源站吗？
不一定。若源站 IP 仍可被直接访问，需评估限制访问来源或采用适合的网络层接入方式。
接入后还需要调整源站防火墙吗？
通常需要核对回源来源和业务端口，但应先确认管理、监控及备用访问路径，避免误封。
标称防护容量越大越好吗？
不应只看容量。协议覆盖、应用层处置、回源能力、故障影响和计费规则同样决定是否适用。
是否需要先做全量切换？
不必。条件允许时先用测试入口验证解析、证书和回源，再按风险分批扩大接入范围。