什麼是 DDoS 攻擊？2026 高防伺服器選擇指南
DDoS（分散式拒絕服務）攻擊是網站和遊戲、API 等線上業務最常遇到的威脅之一。攻擊者控制大量裝置同時向目標傳送流量或請求，使伺服器頻寬、連線數或計算資源被耗盡，正常使用者無法訪問。瞭解攻擊類型和防護原理，才能在選購伺服器和部署業務時做出正確決策。
要點速覽
- DDoS（分散式拒絕服務）攻擊通過大量裝置同時傳送流量或請求，耗盡伺服器的頻寬、連線數或計算資源，使正常使用者無法訪問。
- 黑洞（null route）是機房在攻擊流量超過防護閾值時丟棄被攻擊 IP 全部流量的止損手段，並不能幫業務扛住攻擊。
- CC 攻擊屬於應用層攻擊，僅靠高防伺服器不夠，需要結合 CDN/WAF、限速、驗證碼和快取策略共同防護。
- 完整的 DDoS 防護是網路層清洗、應用層過濾與隱藏源站 IP 的組合，沒有單一手段可以一勞永逸。
- IMIDC 在香港、日本、美國等多個地區提供帶 DDoS 防護的雲伺服器與獨立伺服器，可結合多 IP 與 CN2 線路部署，並提供 7x24 小時技術支援。
適用環境 / 準備工作
- 運營網站、遊戲伺服器、API、直播或電商平台的站長與運維人員。
- 一台 Linux 伺服器（示例命令適用於 Ubuntu、Debian、Rocky/AlmaLinux），具備 root 許可權。
- 建議先完成基礎安全加固，參考Linux SSH 安全加固指南。
正文 / 操作步驟
1. 常見的 DDoS 攻擊類型
SYN Flood（網路層/傳輸層）：攻擊者傳送大量偽造源地址的 TCP SYN 包，伺服器為每個半連線分配資源並等待確認，最終連線佇列被佔滿，新的正常連線無法建立。
UDP Flood：向目標的隨機或指定埠傳送海量 UDP 包，主要目的是塞滿頻寬。由於 UDP 無需握手，攻擊成本極低，常以 Gbps 甚至 Tbps 計。
反射放大攻擊：攻擊者偽造受害者 IP，向公網上開放的 DNS、NTP、Memcached、SSDP、CLDAP 等服務傳送小請求，這些服務返回遠大於請求的響應給受害者。放大倍數可達數十到數萬倍，是大流量攻擊的主要來源。
CC 攻擊（應用層/HTTP Flood）：模擬真實使用者反覆請求網頁、搜尋、登入等消耗資源的介面。流量不一定大，但會拖垮 CPU、資料庫和 PHP 程序，且難以與正常訪問區分。
2. 被攻擊時的典型表現
- 網站或服務突然大面積無法訪問，ping 延遲飆升或全部超時。
- 伺服器頻寬跑滿，但業務訪問量並沒有相應增長。
- CPU、負載異常升高，Web 日誌中出現大量相同 URL 或異常 User-Agent 的請求。
- 收到機房通知 IP 已被牽引，伺服器整體失聯。
可以用以下命令快速觀察：
# 連線狀態彙總
ss -s
# 統計各 TCP 狀態數量，大量 SYN-RECV 提示可能是 SYN Flood
ss -ant | awk 'NR>1 {print $1}' | sort | uniq -c | sort -rn
# 統計連線數最多的來源 IP（前 20）
ss -ntu | awk 'NR>1 {split($6,a,":"); print a[1]}' | sort | uniq -c | sort -rn | head -20
# 即時檢視流量（需安裝 iftop 或 nload）
iftop -nNP -i eth0
# 抓取少量資料包分析協議與來源
tcpdump -nn -i eth0 -c 200
注意：IPv6 地址含冒號，上面按冒號拆分的統計只適合 IPv4，僅作快速參考。
3. 什麼是黑洞（null route）
當攻擊流量超過機房或線路所能承受的防護閾值時，為了保護同網路中的其他使用者，運營商或機房會將被攻擊 IP 的流量全部丟棄，這就是"黑洞"或"null route"。黑洞期間該 IP 完全無法訪問，通常會在一段時間後自動解除，若攻擊持續則可能延長。黑洞是一種止損手段，並不能幫你"扛住"攻擊，因此對穩定性要求高的業務需要具備相應防護能力的線路和伺服器。
4. 如何選擇高防伺服器
選購時建議重點關注以下幾點：
- 防護頻寬與清洗能力：是否提供明確的防護峰值，超出後的處理方式（黑洞時長、是否可升級）。
- 防護類型：是否同時覆蓋 SYN、UDP、反射放大等網路層攻擊，以及是否有針對應用層的策略。
- 線路與位置：面向中國大陸使用者可選香港、日本、新加坡等地帶 CN2 回程的節點，兼顧防護與延遲，參考如何選擇伺服器機房位置。
- IP 資源：被攻擊後能否更換 IP、是否支援多 IP，便於業務切換。
- 技術響應：是否有 7x24 小時支援，攻擊發生時能否快速溝通調整。
具體防護規格以 IMIDC 官網產品頁及工單答覆為準。
5. 應用層防護：CDN、限速與隱藏源站
高防伺服器主要解決流量型攻擊，CC 攻擊更依賴應用層手段。
接入 CDN 或 WAF：讓使用者訪問 CDN 節點，由 CDN 吸收並過濾惡意請求，源站只接受 CDN 回源。
Nginx 限速：在 http 段定義規則，在 server 或 location 中引用：
http {
limit_req_zone $binary_remote_addr zone=req_per_ip:10m rate=10r/s;
limit_conn_zone $binary_remote_addr zone=conn_per_ip:10m;
server {
location / {
limit_req zone=req_per_ip burst=20 nodelay;
limit_conn conn_per_ip 30;
}
}
}
修改後執行檢查並過載：
nginx -t && systemctl reload nginx
開啟 SYN Cookies（多數發行版預設開啟，可確認）：
sysctl net.ipv4.tcp_syncookies
sysctl -w net.ipv4.tcp_syncookies=1
隱藏源站 IP：一旦攻擊者拿到真實 IP，就能繞過 CDN 直接攻擊。建議做到：源站只允許 CDN 回源 IP 訪問 80/443；郵件服務、子域名解析、歷史 DNS 記錄不要暴露源站 IP；如源站 IP 已經洩露，接入 CDN 後應更換新 IP。以 Cloudflare 為例，其回源 IP 段公佈在 https://www.cloudflare.com/ips-v4，可據此配置防火牆白名單。
常見問題 FAQ
普通伺服器開了防火牆能防 DDoS 嗎？
只能緩解小規模攻擊。流量型攻擊在到達伺服器前就會塞滿上遊頻寬，必須依靠機房或線路層面的清洗能力。
CC 攻擊用高防伺服器就夠了嗎？
不夠。CC 攻擊屬於應用層，需要結合 CDN/WAF、限速、驗證碼和快取策略共同防護。
IP 被黑洞了怎麼辦？
等待自動解除，或提交工單瞭解黑洞時長和更換 IP 的可能性；同時排查攻擊來源，評估是否需要升級防護方案。
隱藏源站後還需要高防嗎？
如果 CDN 防護能力充足且源站 IP 未洩露，可以降低風險，但對遊戲、TCP/UDP 類非 HTTP 業務，CDN 往往無法覆蓋，仍需高防線路。
總結
DDoS 防護是"網路層清洗 + 應用層過濾 + 隱藏源站"的組合工程，沒有單一手段可以一勞永逸。IMIDC 在香港、日本、美國等多個地區提供帶 DDoS 防護的雲伺服器與獨立伺服器，可結合多 IP 與 CN2 線路部署業務；遭遇攻擊或需要評估防護方案時，可提交工單，技術團隊 7x24 小時協助分析與調整。