DDoSDistributed Denial of Service分布式拒绝服务攻击的原理是通过大量僵尸节点同时向目标服务器发送请求将服务器的网络带宽或处理能力耗尽导致正常用户无法访问。对于跨境电商独立站、游戏服务器、SaaS 平台和出海业务DDoS 攻击是最常见也最难预防的安全威胁之一。阿里云 DDoS 高防Anti-DDoS通过将业务流量引导到全球分布的高防清洗中心过滤掉攻击流量只将正常的业务流量转发回源站服务器。整个过程对业务透明不需要修改应用代码只需要将域名或 IP 指向高防实例。两种产品高防中国内地 vs 高防非中国内地阿里云 DDoS 高防分为两条产品线按照防护的业务节点区分而不是按照公司所在地区区分。DDoS 高防中国内地用于防护部署在中国大陆节点的业务提供电信、联通、移动三大运营商的高防线路接入适合面向大陆用户的网站、APP 后端和游戏服务器。DDoS 高防非中国内地用于防护部署在中国大陆以外节点的业务覆盖香港、新加坡、日本、美国、欧洲等区域对应阿里云国际版的海外节点。出海业务、独立站、跨境电商、面向东南亚或全球用户的服务选择这条产品线。两条产品线的防护原理相同但高防线路资源、接入点分布和计费规则有所不同。本文重点介绍非中国内地产品线即面向出海业务最常用的 Anti-DDoS Premium。Anti-DDoS Premium四种方案的选型判断非中国内地 DDoS 高防提供四种不同定位的防护方案按照业务需求选择不同方案保险防护Insurance提供基础的大流量 DDoS 防护保底防护带宽最高可配置到 5000 Mbps适合流量攻击风险中等、对成本敏感的业务。保险防护的特点是只在攻击流量超出保底带宽时才额外计费平时只需要支付固定实例费成本相对可控。无限防护Unlimited提供无上限的防护能力当攻击流量超出购买的保底带宽时额外的攻击流量全部由阿里云承担不产生弹性防护费用。适合攻击频率高、攻击规模难以预估的业务例如电竞类游戏、高知名度的出海应用。无限防护的实例费高于保险防护但在频繁大规模攻击的场景下总持有成本反而可能低于保险防护叠加弹性防护费用的方案。安全加速线路 2.0在 DDoS 防护基础上叠加了访问加速能力最大业务带宽 1500 Mbps适合对访问速度和 DDoS 防护都有要求的内容分发业务例如媒体平台和全球访问的 SaaS 服务。这条线路同时充当 CDN 节点和清洗中心流量在接近用户的节点完成清洗和加速分发减少了访问延迟。加速线路业务带宽最高 1000 Mbps定位和安全加速线路 2.0 类似但规格较小适合流量体量中等的业务。方案最大防护带宽弹性防护计费适合场景保险防护5000 Mbps超出按天计费攻击规模可预估、成本敏感无限防护5000 Mbps无额外费用攻击频繁、规模不确定安全加速线路 2.01500 Mbps按实际超出量需要同时加速和防护加速线路1000 Mbps按实际超出量中等流量、兼顾加速接入方式网站业务 vs 非网站业务DDoS 高防的接入方式根据业务类型分为两类配置方式不同需要在购买前确认业务属于哪种类型。网站业务接入HTTP/HTTPS网站业务是指通过域名访问的 HTTP 或 HTTPS 服务包括独立站、企业官网、Web API、小程序后端等。接入方式是将域名的 CNAME 记录指向高防实例提供的 CNAME 地址用户访问域名时DNS 解析到高防的清洗 IP流量先进入清洗中心过滤后转发到源站服务器。整个接入过程不需要修改服务器上的任何配置只需要在 DNS 服务商处修改 CNAME 记录DNS 生效后通常 5–30 分钟防护即刻生效。网站业务接入的高防实例支持配置多个域名每个域名可以设置独立的防护策略。非网站业务接入TCP/UDP 端口转发非网站业务是指通过 IP 地址和端口直接访问的服务最典型的场景是游戏服务器——游戏客户端通常直接连接服务器 IP 的特定端口不通过域名访问。接入方式是将客户端配置为连接高防实例的 IP 和转发端口高防实例将清洗后的流量转发到源站的对应端口。非网站业务接入需要在高防控制台配置端口转发规则指定转发协议TCP/UDP、高防端口和源站端口的对应关系以及源站 IP 地址。每个高防实例默认支持 50 个转发端口超出需要按量扩展。源站保护防止攻击者绕过高防直打源站接入 DDoS 高防之后一个容易被忽视的配置步骤是源站保护。高防的工作原理是让所有流量先经过清洗中心但如果攻击者通过扫描或历史记录知道了源站的真实 IP可以直接向源站 IP 发起攻击完全绕过高防的防护能力。源站保护的实现方式是修改 ECS 实例的安全组规则将入站规则改为只允许来自 DDoS 高防清洗中心 IP 段的流量拒绝来自其他任何来源的直接入站连接。这样即使攻击者知道了源站真实 IP也无法直接向源站发起有效的攻击——流量在安全组层面就被拦截了。阿里云在高防控制台提供了当前所有清洗中心的回源 IP 段列表将这些 IP 段加入 ECS 安全组的入站白名单即可。注意清洗中心 IP 段可能随着节点扩容而更新建议定期在控制台确认最新的 IP 段列表并同步更新安全组规则。DDoS 高防 WAF 联合防护架构DDoS 高防和 WAFWeb 应用防火墙防护的是不同类型的攻击两者配合使用才能构建完整的防护体系。DDoS 高防防护的是流量型攻击大量 SYN Flood、UDP Flood、ICMP Flood 等消耗带宽和连接资源的攻击特点是攻击流量体积大目的是让服务器带宽或连接数耗尽。WAF 防护的是应用层攻击SQL 注入、XSS 跨站脚本、Web 爬虫、CC 攻击大量正常请求耗尽服务器处理能力等特点是单个请求看起来合法但大量并发或恶意构造的请求会绕过服务器正常的访问控制。两者联合部署时流量经过的顺序是DDoS 高防入口层→ WAF中间层→ 源站服务器。用户的请求先到达 DDoS 高防清洗掉大流量攻击剩余流量转发给 WAFWAF 识别和过滤应用层攻击最后只有合法的业务流量到达源站。配置联合防护时需要在高防控制台将回源地址设置为 WAF 提供的 CNAME不是直接指向源站 ECS IP。同时在源站 ECS 的安全组中只允许 WAF 的回源 IP 段入站形成完整的流量闭环。DDoS 高防的防护能力阿里云 DDoS 高防的全球防护网络总带宽超过 20 Tbps其中非中国内地防护带宽超过 5 Tbps清洗中心节点覆盖亚太、欧洲和北美。防护能力覆盖两个层面网络层的大流量攻击通过 IP 信誉库和深度包检测DPI识别并过滤对 SYN Flood、UDP Flood、ICMP Flood、ACK Flood 等常见攻击类型有成熟的清洗策略应用层的 CC 攻击通过 AI 智能防护引擎自动学习正常业务访问模型基于请求频率、URL 模式、User-Agent 等特征识别异常流量支持配置精细到 URL 级别的防护策略。攻击期间高防控制台的安全总览报表实时显示攻击流量峰值、攻击来源 IP、访问来源地域、请求 TOP URL 等信息帮助运维团队在攻击期间快速判断攻击特征并调整防护策略。计费方式DDoS 高防的账单由三个部分构成理解各部分的计费逻辑有助于在购买时选择合理的规格避免不必要的费用。实例费预付费是按月或按年购买高防实例的固定费用取决于选择的保底防护带宽、业务带宽、QPS 规格和功能套餐。保底防护带宽越高、业务带宽越大实例费越高。这部分费用在购买时一次性支付和实际流量无关。标准功能套餐和增强功能套餐之间的价格差异为 8,000 元/月增强套餐在标准套餐基础上提供更精细的防护策略、更高的域名和端口扩展上限。大多数业务标准套餐已经足够增强套餐主要面向对防护颗粒度有更高要求的大型企业。弹性防护费后付费在攻击流量超出购买的保底防护带宽时产生按天结算费用取决于当天实际攻击流量的峰值档位。保险防护方案有此项费用无限防护方案没有此项费用——这是两者最核心的计费差别。弹性业务带宽/QPS 费后付费在正常业务流量超出实例保底规格时产生。例如购买了 100 Mbps 保底业务带宽某天业务高峰实际达到 150 Mbps超出的 50 Mbps 按日 95 或月 95 峰值计费。注意这是正常业务流量超出规格时产生的费用和攻击无关。值得关注的是 2026 年 3 月 6 日起的计费变更新用户购买 DDoS 高防实例弹性业务带宽不再支持月 95 计费模式只支持日 95 模式同时不再支持在控制台手动调整弹性业务带宽配置。已有实例不受影响继续按原有模式计费。账号开通与代理充值使用阿里云 DDoS 高防需要有效的阿里云国际版账号DDoS 高防实例可以在阿里云国际版控制台直接购买不需要额外审批。关于阿里云国际版账号的开通方式可以参考阿里云国际合作伙伴的服务说明。对于已经部署了 DDoS 高防的业务月均账单通常不低实例费加上弹性防护和业务带宽的后付费月度综合成本可能在数百到数千美元之间。通过 Hosting Verge 代理渠道充值可以获得赠金返点$100 到账 $110$500 到账 $600$1000 到账 $1250赠金适用于 DDoS 高防实例费和所有后付费账单的抵扣长期使用下年度综合成本明显低于官网直充。
