服务器被DDoS攻击：阿里云高防IP 30G防护月费2000元的配置和效果
服务器被DDoS打进黑洞，第一件事不是立刻买最高档高防，而是判断攻击类型和流量量级。阿里云高防IP的30G档，月费约两千元量级，主要解决带宽被顶满导致的业务中断。
清单 1：先确认攻击类型，再决定买不买
清单第一条不是选产品，而是定性。
- 看带宽曲线：阿里云控制台 → 云监控 → ECS 实例监控 → 公网入带宽。几分钟内被顶满、来源 IP 分散、目标端口集中在 80 和 443，多半是流量型 DDoS。
- 看是否进黑洞：ECS 触发黑洞后，实例在黑洞期内完全不可访问，控制台安全事件里会有记录。反复进黑洞，说明基础防护的清洗能力已经不够。
- 看是不是 CC：带宽没满但 CPU 和连接数飙升、Nginx 日志里同一路径被高频请求，多为应用层攻击，高防 IP 的流量清洗帮助有限，要配 WAF。
- 排除误伤：先确认不是被采集、不是 CDN 回源打满、不是活动带来的正常峰值。
结论只有一句：流量型且反复发生，才值得上高防 IP。
清单 2：选型阶段要过的五项
- 保底带宽：标题里的 30G 指保底防护带宽量级，属中小档，据公开报价月费约两千元上下，以后台购买页为准，更高档位价格随之上升。
- 弹性防护：保底之上可开弹性，超出的攻击流量按峰值和时长计费，适合攻击不规律的站点，但必须设弹性上限，否则账单容易失控。
- 线路：BGP 覆盖广、跨网体验好；电信、联通、移动单线便宜但跨网延迟明显，一般选 BGP。
- 协议与端口：确认业务需要的端口和协议（TCP、UDP、HTTP、HTTPS），游戏类通常还要看 UDP 转发是否支持。
- 计费周期：月付适合应急和观察，年付单价更低；不确定会不会长期被打，先月付跑一个周期。
清单 3：控制台配置的五个环节
- 购买：阿里云控制台 → 产品与服务 → 安全 → DDoS 防护 → 高防 IP（新 BGP），选保底带宽和时长后下单。
- 建转发规则：进入实例管理，添加转发规则，填写协议、转发端口、源站 IP（你的 ECS 公网 IP）和源站端口。
- 域名接入：HTTP/HTTPS 业务把域名解析从 A 记录改为高防提供的 CNAME；四层业务则把连接地址直接改成高防 IP。
- 锁死回源：源站安全组只放行高防回源 IP 段，避免攻击者绕过清洗直接打源站。回源 IP 列表在控制台可查，按列表逐条加白。
- 验证：
dig 你的域名 +short看解析是否指向高防，telnet 高防IP 端口确认转发连通。
清单 4：接入后要盯的四个开关
- 清洗阈值：默认按保底带宽触发，可手动调低让清洗更早介入，但调得太低会误伤正常流量。
- 回源限速与连接数限制：给源站再加一层，防止清洗放行后的异常连接压垮后端。
- 日志与告警：打开防护流量日志，在云监控里对入带宽、清洗流量、黑洞事件配告警，别等用户投诉才知道。
- 与 WAF 配合：流量清洗管带宽，WAF 管 CC 和注入，两者层次不同，别指望一个顶两个。
清单 5：效果验收看什么
- 挡得住：常见 UDP 洪水、SYN Flood、DNS 与 NTP 反射放大，以及流量低于保底带宽的持续攻击。这一档大致能覆盖中小站点遇到的多数脚本化攻击。
- 挡不住：超过保底加弹性上限的超大流量会再次进黑洞；针对具体接口的高频 CC、从业务漏洞进来的请求也不在它的职责范围。
- 验收方式：对比接入前后的入带宽曲线、源站 CPU 和可用性监控；压测要在低流量时段做，别在真实攻击期间测试。
- 二次攻击：攻击停止不代表结束，不少站点会被打第二次，保留至少一个月日志用于溯源和策略调整。
清单 6：成本与替代思路
- 高防 IP 月费在两千元量级，弹性防护按量另计，回源带宽被打高也会产生费用。
- 预算有限时，先评估 CDN 加 WAF 能否覆盖大部分攻击；CDN 自带一定清洗能力，隐藏源站 IP 是性价比最高的一步。
- 源站别裸奔：能用 CNAME 就别用 A 记录，能套 CDN 就别直接暴露公网 IP。
- 长期靠架构：多地域、限流、验证码、接口鉴权，把攻击成本转嫁给攻击者。
30G 这一档不是万能盾，它解决的是带宽被顶满导致业务中断的问题。先判断攻击类型和量级，再决定买不买、买多大，比直接下单重要得多。