半夜被报警叫醒，一看IP又被机房null掉了。买美国带硬防的服务器最怕遇到这种“假硬防”。
机房销售吹的T级防御，很多时候只是前端共享防火墙。UDP反射一上来，总出口直接拥塞，你的IP瞬间就被丢进黑洞。
共享防火墙的致命伤
别信那些PPT吹的，共享清洗集群要命的是延迟。流量通过**BGP Anycast**牵引到异地清洗中心，洗完再回传。
- 去程走普通线路，回程走**GRE Tunnel**，这中间只要丢包超过5%，你的TCP连接就全断了。
- 一旦攻击流量超过机房总带宽的60%，运维为了保其他客户，会直接给你下发**Null0 Route**，这IP废了，直接。
三种抗攻击方案对比
| 防御类型 | 清洗位置 | 抗UDP反射能力 | IP存活率 |
|---|---|---|---|
| 系统软防 | 服务器本机iptables | 极差，带宽瞬间被打满 | 不到10% |
| 共享硬防 | 机房前端入口集群 | 中等，受限于机房总出口 | 看机房心情 |
| 独立硬防 | 独立高防IP/物理机 | 极强，独享T级清洗容量 | 99%以上 |
哪些业务千万别碰硬防
如果是做七层CC攻击的，别买纯网络层硬防，浪费钱。CC得靠WAF或者Nginx限流，买机器时别指望底层硬件集群能帮你过滤HTTP慢速请求。
# 查TCP连接状态，排查CC攻击
netstat -n | awk '/^tcp/ {++S[$NF]} END {for(a in S) print a, S[a]}'我是老K，在机房搬了8年砖，只说大实话。业务如果正被大流量盯上，立刻联系技术团队拿真实测试IP跑包，别等断网了再拍大腿。