面对 DDoS防御，是租云高防服务，还是自己上一台本地清洗设备？本文用 10 个问答讲清两者的本质差异、清洗能力的真实天花板、成本结构、适用场景、混合架构怎么搭，以及接入前必须问清的选型要点。
Q：云高防和本地清洗设备，本质区别在哪？
- 云高防服务：把流量牵引到服务商的清洗节点（BGP 牵引、DNS 调度或 Anycast），在对方的大带宽机房里洗干净之后再回源。
- 本地清洗设备：部署在你自己机房，靠自己的入口带宽和机房出口来扛和洗。
- 一句话：两者的差别不是设备强不强，而是清洗容量从哪来——云高防租的是别人的带宽，本地设备用的是自己的带宽。
Q：两者的核心差异表现在哪几个维度？
| 维度 | 云高防服务 | 本地清洗设备 |
|---|---|---|
| 清洗位置 | 服务商高防节点，离攻击源更近 | 自己机房内部 |
| 清洗容量 | 由服务商带宽决定，可弹性扩展 | 受机房入口带宽硬限制 |
| 成本结构 | 按月或按年订阅，叠加弹性带宽费用 | 一次性采购，加机柜、带宽、电力与人力 |
| 运维门槛 | 低，服务商负责运维与升级 | 高，需要专人值守与调优 |
| 数据可控性 | 流量经过第三方节点 | 数据不出机房，便于合规与审计 |
| 典型适用 | 中小站点、攻击频次不固定、无专职安全团队 | 自有 IDC、大带宽、有合规要求 |
Q：选本地清洗设备，最大的误区是什么？
- 误区是以为设备标称的清洗能力（比如 40Gbps）就是你的实际防护能力。
- 真相是：本地清洗能力不可能超过机房给你的入口带宽。机房出口只有 1Gbps，攻击把 1G 打满，链路先堵死，设备性能再强也没机会工作。
- 所以买设备之前先回答一个问题：机房能给我多少入口带宽，上游运营商有没有清洗能力。
- 另一层是冗余：单台设备就是单点故障，正规做法是双机加旁路设计，预算要按接近两倍来算。
Q：判断云高防的清洗能力，要看哪几个指标？
- 保底带宽与弹性带宽：保底是必付部分，弹性决定遇到大流量时能不能顶住。
- 是否限制清洗次数或总流量：宣传「无限清洗」的，一定要落到合同条款上看。
- 黑洞阈值：超过多少流量直接丢黑洞，这直接决定了业务能保住多久。
- 四层与七层能力：SYN Flood、UDP Flood 属于四层，CC 属于七层，两者要分开问清楚。
- 回源方式与回源带宽计费：回源是否要加白名单，回源流量是否另行收费。
- 是否提供攻击报告：出问题时这是向机房、向客户解释的唯一凭据。
- 攻击流量是否额外计费：按带宽峰值计费时，攻击流量往往照常计入你的账单。
Q：成本到底怎么算才合理？
- 本地设备：硬件采购（几万到几十万不等）加机柜与带宽（清洗能力越大，要求的带宽越贵）加双机冗余加电力与运维人力，再考虑三到五年的设备更新周期。
- 云高防：年费随保底带宽线性上升，弹性部分按量或按次计费。
- 判断思路是看年攻击峰值乘出现频次：一年只被打两次、每次 300G，自建基本不现实；全年被小流量骚扰、峰值不到 10G，云高防更划算。
- 要提醒的是，本地设备看起来「一次性买断更便宜」，但把带宽、冗余和人力算进去，往往比云高防贵得多。
Q：什么场景必须用云高防，什么场景适合本地设备？
优先选云高防的场景：
- 攻击规模已经超过自己机房的带宽上限，典型是流量型与反射放大类攻击。
- 业务不允许长时间停服，需要清洗层可以随时扩容。
- 团队没有专职安全运维，不希望自己维护清洗设备。
- 需要七层 CC 防护和全天候告警联动。
适合本地清洗设备的场景：
- 自有 IDC，本身就有大带宽与冗余出口。
- 合规或数据主权要求流量不出机房，例如等保与行业监管要求。
- 长期被攻击、对清洗成本敏感，且攻击规模稳定在自己带宽范围内。
- 需要与内部流量分析、日志审计体系深度打通。
Q：能不能两个一起上？混合架构怎么搭？
常见组合是云高防做第一层清洗扛流量，本地设备或防火墙做第二层兜底扛漏过的四层与七层攻击：
server {
listen 443 ssl;
# 源站只允许高防回源段访问，源站 IP 不直接对外暴露
allow 203.0.113.0/24;
deny all;
}上线前先摸清自己还有多少清洗空间，避免本地设备形同虚设：
# 看当前入口带宽与实时峰值占用
iftop -i eth0 -n -N -P
# 看历史峰值与平均速率（单位 KB/s）
sar -n DEV 1 5 | grep eth0- 混合架构的价值在于没有单点依赖：云高防链路异常、或源站 IP 泄露被直打时，本地设备仍然能顶一阵。
- 代价是链路更复杂，排查问题时需要明确每一层的日志与责任人。
Q：怎么确认源站 IP 没有泄露？
防护做得再好，源站 IP 一旦暴露，攻击就会绕过清洗层直达源站，前面的投入全部作废。检测方法很直接：
# 把域名强行解析到源站 IP 直连，若返回正常页面说明源站没做来源限制
curl -s -o /dev/null -w '%{http_code}\n' \
--resolve www.example.com:443:203.0.113.9 https://www.example.com/- 自查泄露渠道：DNS 历史解析记录、邮件头里的发信服务器 IP、SSL 证书透明度日志、子域名与测试域名、历史工单与截图。
- 加固方式：源站只放行高防回源段，对外只暴露清洗层入口；更换 IP 时同步更新合作方接口、支付回调与第三方服务的白名单。
Q：选型和接入前必须问清哪几件事？
- 清洗触发阈值是多少，从触发到生效需要多久。
- 黑洞阈值是多少，触发后如何解封、多久解封。
- 四层与七层是否都支持，七层能不能防 CC。
- 保底与弹性带宽怎么计费，攻击流量是否额外收费。
- 回源方式是什么，是否支持 HTTPS 回源与固定回源 IP。
- 是否有明确的服务等级承诺，是否提供攻击报告。
- 能否随时升降配，降配是否有绑定期限制。
Q：还有什么补充建议？
- 先量化再选型：统计过去一年的攻击峰值、频次与类型，用数据决定要不要自建，而不是凭感觉。
- 入口架构优先于设备：把源站藏好、把入口上移，通常比换一台更贵的设备有效得多。
- 本地设备必须做冗余与旁路，单机方案被打倒就是全网中断。
- 合同里写清清洗触发条件与计费口径，出事时才有依据可查。
- 别只盯着清洗能力：七层 CC 防护与告警响应速度，往往才是真正决定业务能不能扛住的部分。
- 一句话总结：云高防买的是「带宽加清洗加运维」，本地设备买的是「数据可控加长期成本」；机房入口带宽不够的，本地设备再贵也没有意义。