中小业务的DDoS防护预算普遍卡在一个尴尬位置：买商业高防服务动辄每月几千上万，自建清洗集群又完全不现实，最后往往只能裸奔或者依赖机房默认的几Gbps黑洞路由。问题核心不是“要不要防”，而是“怎么在每月几百元到两千元之间买到真正有效的防护能力”。这篇文章直接拆解成本结构，给出可落地的控本方案。

先搞清楚钱花在哪里：DDoS防护的成本结构

DDoS防护的报价差异极大，从几十元一个月的CDN自带基础防护到数万元一个月的独立高防IP，中间差价主要来自四个部分：清洗带宽、防护节点数量、攻击切换速度、运维响应等级。清洗带宽是最贵的资源，服务商采购上游带宽并按95计费或者固定端口计费，这部分成本最终转嫁给客户。很多中小业务被报价吓退，是因为销售默认给你按“独享100G清洗能力”来算，但你的业务日常可能只需要5Gbps的清洗余量，攻击来的时候再弹性扩容即可。

理解这一点之后，控本的核心思路就很清晰：不要为用不到的独享资源买单，优先选择共享清洗池、按攻击量计费或者弹性计费的方案。共享清洗池意味着你和别的客户共用服务商的清洗带宽，平时成本被分摊，攻击时只要池子没被打满，你就能获得远超自己付费等级的防护能力。市面上很多“基础防护免费、攻击时加钱升级”的产品就是这个逻辑，适合攻击频率不高但被打时又需要保命的业务。

按业务类型选择最省钱的防护形态

不是所有业务都需要高防IP。如果你的业务是纯静态网站、展示型官网、博客或者不涉及实时交互的内容站，最省钱的做法是把域名解析切到支持DDoS防护的CDN后面，隐藏源站真实IP。CDN节点天然分布广、带宽大，很多CDN服务商自带免费的基础DDoS缓解能力，能抗住常见的CC攻击和小流量SYN Flood。你只需要在源站防火墙只允许CDN回源IP访问，再配合一个低成本的备用线路即可。这个方案每月成本可以控制在百元以内，甚至用免费套餐就能实现基础防护。

如果你的业务是游戏、API接口、SaaS服务或者需要保持长连接的实时应用，CDN只能解决HTTP层面的问题，TCP/UDP协议的攻击必须依赖高防IP或者高防服务器。这时候控本的关键是选择“基础防护+弹性计费”的高防IP产品。很多服务商提供每月固定费用包含20G到50G的基础清洗，超过部分按攻击峰值或者攻击时长计费。对于大多数中小业务来说，每月遇到超过50G攻击的概率并不高，这种方案比直接买100G独享高防要便宜一半以上。

隐藏源站是免费的防护，但90%的人没做对

源站IP泄露是中小业务被打穿的最常见原因。很多人以为套了CDN或者高防IP就万事大吉，结果攻击者通过邮件头、子域名解析记录、DNS历史记录、网站返回的报错信息、甚至第三方监控服务直接拿到了源站真实IP，绕过所有防护直接打源站。隐藏源站不需要额外花钱，但需要系统性地检查：确认所有子域名都指向防护节点而不是源站；关闭源站上不必要的端口和服务；修改服务器默认的404和错误页面，避免泄露服务器软件版本和内网信息；检查历史DNS记录，如果曾经直接解析到源站，需要更换IP并重新配置。

还有一个经常被忽略的泄露点是SSL证书。如果你在源站服务器上配置了HTTPS，攻击者可以通过全网扫描证书指纹来定位你的源站IP。解决办法是源站只允许防护节点的回源IP访问，其他所有来源一律拒绝，这样即使IP被扫描到，攻击流量也无法直接到达源站。这个操作在iptables或者云安全组里设置即可，零成本但效果显著。

CC攻击的控本方案：别用高防硬扛，用WAF和限速

很多中小业务被打的其实是CC攻击，也就是应用层的HTTP洪水，而不是大流量的网络层DDoS。CC攻击的流量往往只有几百Mbps到几个Gbps，但请求量巨大，直接耗尽服务器CPU和数据库连接。如果用高防IP去硬扛CC，成本会非常高，因为高防IP的清洗规则对应用层攻击的识别效率有限，而且按带宽计费的话，CC攻击的带宽虽然不大，但连接数极高，容易触发额外的计费项。

更省钱的方案是在防护节点上启用WAF和速率限制。WAF可以识别并拦截恶意的HTTP请求特征，比如特定的User-Agent、重复的请求路径、异常的Referer等。速率限制可以针对单个IP或者单个会话设置请求频率上限，超过阈值直接丢弃或者验证码挑战。很多CDN和高防服务商的WAF功能是包含在基础套餐里的，不需要额外付费。对于API业务，可以在应用层增加令牌桶限速和缓存机制，把热点接口的响应缓存到边缘节点，减少源站压力。这些手段叠加起来，能挡掉大部分中小规模的CC攻击，成本几乎为零。

自建轻量清洗：用Nginx和iptables做第一道防线

如果你的业务部署在自有服务器或者云主机上，可以在服务器前端用Nginx和iptables做一层轻量清洗，把明显的攻击流量在进入业务应用之前就丢掉。这不是替代高防IP，而是作为第一道过滤，减少进入高防的流量，从而降低高防的计费压力。以下是一个基础的Nginx限速配置示例：

http {
    # 限制单个IP的并发连接数
    limit_conn_zone $binary_remote_addr zone=conn_limit:10m;
    # 限制单个IP的请求速率
    limit_req_zone $binary_remote_addr zone=req_limit:10m rate=10r/s;

    server {
        listen 80;
        server_name example.com;

        # 每个IP最多10个并发连接
        limit_conn conn_limit 10;
        # 每个IP每秒最多10个请求，突发20个
        limit_req zone=req_limit burst=20 nodelay;

        location / {
            proxy_pass http://backend;
        }
    }
}

iptables层面可以针对常见的攻击特征做简单的包过滤，比如限制单个IP的SYN包速率：

# 限制单个IP每秒最多5个新的SYN包
iptables -A INPUT -p tcp --syn -m limit --limit 5/s --limit-burst 10 -j ACCEPT
iptables -A INPUT -p tcp --syn -j DROP

这套配置能挡住一些脚本化的扫描和低强度攻击，但要注意不要设置得过于激进，否则会误伤正常用户。对于超过服务器带宽的攻击，iptables和Nginx都无能为力，必须依赖上游的清洗能力。所以这个方案的价值在于“过滤垃圾流量，减少高防触发”，而不是“替代高防”。

利用云厂商的免费额度和基础防护

国内主流云厂商的云服务器通常自带一定量的基础DDoS防护，一般在1Gbps到5Gbps之间，超出后黑洞。如果你的业务带宽本身不大，这个免费额度可能已经够用。关键是要把云监控和告警配置好，攻击发生时能第一时间知道，而不是等到用户投诉才发现。同时可以开启云厂商提供的安全组和网络ACL，只放行必要的端口和协议，减少攻击面。

另外，很多云厂商提供按量付费的高防服务，可以设置一个触发阈值，比如日常只使用基础防护，当检测到攻击流量超过阈值时自动切换到高防线路，攻击结束后切回。这种方案的成本远低于长期购买高防IP，适合攻击频率低但偶尔会被打的业务。配置时需要注意切换的延迟和会话保持问题，对于长连接业务可能会有短暂中断。

监控和应急响应：省钱的关键是别被打到黑洞

很多中小业务的DDoS损失不是因为防护不够，而是因为发现太晚、响应太慢。攻击来了之后，服务器被黑洞几个小时，业务完全中断，这时候再去找服务商升级防护已经来不及了。一套简单的监控告警系统可以大幅降低这种风险。用Zabbix、Prometheus或者云监控，对服务器的入向流量、连接数、CPU负载设置阈值告警，一旦异常立即通知运维人员。同时准备好应急切换方案：提前购买一个低配的高防IP或者备用CDN，平时不启用，攻击时手动切换DNS解析或者通过API自动切换。

这个“冷备”方案的成本极低，因为高防IP在未启用状态下通常只收取很低的保留费用，甚至有些服务商支持按小时计费，不用的时候完全免费。攻击发生时，切换DNS到高防IP，生效时间取决于TTL设置，一般可以做到5到10分钟内完成切换。对于大多数中小业务来说，10分钟的中断远比几个小时的完全黑洞要容易接受得多。

谈判和套餐选择：别被销售的话术带着走

DDoS防护服务的销售通常会给你报一个很高的价格，强调“攻击越来越大，你必须买最高级别的防护”。但实际上，你需要的是“够用且能弹性扩展”的方案，而不是一步到位。谈判时可以明确告诉对方你的业务类型、日常带宽、历史攻击峰值，要求对方提供共享清洗池的方案，而不是独享带宽。很多服务商的共享高防IP价格只有独享的三分之一甚至更低，防护效果在中小攻击场景下差别不大。

同时要关注合同里的“攻击超量处理方式”。有些服务商在攻击超过套餐额度后不会立即黑洞，而是继续清洗但按超量部分计费；有些则直接黑洞。对于预算紧张的中小业务，选择“超量继续清洗但计费”的方案更安全，因为至少业务不会中断，而且你可以根据超量情况决定是否升级套餐。另外，按月付费而不是按年付费，可以让你在攻击态势变化时灵活调整，避免被长期合同锁死。

中小业务的DDoS防护成本控制，本质上是一个“分层防御+弹性计费+隐藏源站+快速响应”的组合策略。没有一种方案能包打天下，也没有必要为极端情况提前支付高额成本。把基础工作做扎实，把监控和应急流程跑通，把每一分钱花在真正需要的清洗能力上，就能在有限的预算内获得远超预期的防护效果。