服务器突然访问不了，用户反馈打不开网站，监控显示带宽跑满——这很可能是遭遇了DDoS攻击。第一次遇到这种情况，很多人会慌乱，不知道从哪里下手。本文提供一套应急处理流程，从判断、止损、恢复到复盘，帮你快速应对。

一、第一步：判断是不是DDoS攻击

服务器访问异常的原因很多，先确认是不是DDoS攻击，再采取对应措施。

DDoS攻击的典型表现包括：网站突然无法访问，ping服务器丢包严重；服务器带宽监控显示流量异常升高，远超正常水平；CPU和内存使用率不一定高，但网络连接数暴增；SSH远程连接困难或断断续续。

排查方法：登录云服务器控制台，查看带宽监控和连接数监控。如果带宽在短时间内飙升到峰值，且连接数异常，大概率是流量攻击。如果CPU和内存跑满但带宽正常，可能是CC攻击或程序问题。如果服务器完全无法连接，联系机房确认是否触发了清洗。

二、第二步：联系机房启动清洗

确认是DDoS攻击后，第一时间联系机房客服，说明情况，请求启动清洗。

如果机房提供自动清洗，攻击流量超过阈值时清洗会自动启动。但自动清洗可能有延迟，主动联系机房可以加快处理。百脉云提供7x24工单和在线客服（QQ/微信：94527），攻击发生时可以联系客服协助处理。

如果机房防御规格不足以清洗当前攻击流量，业务可能持续中断。这种情况下，需要考虑临时升级防御规格，或者切换到防御规格更高的机房。百脉云襄阳电信机房提供600G防御，4核4G 15M配置38元/月，是高防御场景的性价比选择。需要查看襄阳电信的完整配置和实时价格，可以访问襄阳电信云服务器产品页结合账号情况查看。

关于高防服务器的选型逻辑，可以参考高防服务器怎么选一文中关于防御规格和清洗能力的说明。

三、第三步：判断攻击类型

DDoS攻击分多种类型，处理方式不同。

流量攻击（L3/L4）：包括SYN Flood、UDP Flood、ICMP Flood。特点是流量大，打满带宽。机房清洗可以过滤大部分流量攻击。如果攻击持续，可以临时封禁非必需端口，只保留业务端口。

CC攻击（L7）：模拟正常用户请求，打满CPU和连接数。特点是流量不一定大，但请求频率高。机房清洗对CC攻击效果有限，需要在应用层处理。常见方案包括：Nginx限速、IP黑名单、验证码挑战、WAF规则拦截。关于CC攻击的防护，可以参考云服务器防御选30G还是100G一文中关于应用层防护的说明。

混合攻击：同时使用流量攻击和CC攻击，增加防护难度。建议机房清洗+应用层防护同时启用，必要时联系机房做针对性策略。

四、第四步：止损和恢复业务

攻击进行中，优先止损，再考虑恢复。

止损措施包括：如果攻击只针对特定域名，可以临时切换域名解析，把流量引导到备用IP；如果攻击针对特定端口，可以临时关闭该端口，只保留核心业务端口；如果攻击流量超过机房防御上限，可以联系机房做黑洞路由，牺牲部分业务保全整体。

恢复业务时，先确认攻击是否停止。如果攻击停止，逐步恢复服务，观察监控确认正常。如果攻击持续，考虑临时升级防御或迁移到高防机房。

业务恢复后，建议做一次系统层安全加固。修改默认远程端口、限制登录失败次数、定期更新补丁、配置防火墙策略。机房防御负责网络层，系统层防护靠自己。关于安全加固的完整清单，可以参考云服务器安全加固一文中关于账号、端口、补丁、日志、备份的说明。

五、第五步：事后复盘和长期防御

攻击停止后，做一次复盘，找出薄弱环节，制定长期防御策略。

复盘内容包括：攻击的类型和规模、攻击持续的时间、机房清洗的响应速度、业务中断的时长、系统层是否有漏洞被利用。根据复盘结果，调整防御策略。

长期防御策略包括：评估业务面临的攻击风险，选择防御规格匹配的机房；配置监控告警，攻击发生时第一时间发现；做好系统层加固，减少应用层被攻破的风险；制定应急预案，攻击发生时按流程处理；定期演练，验证预案的有效性。

如果业务频繁遭受攻击，建议长期使用高防机房。百脉云多个机房提供100G以上防御，包括济南联通（100G）、厦门电信（100G）、西安电信（100G）、绍兴BGP（200G）、德阳电信（200G）、十堰电信（200G）、襄阳电信（600G）。关于防御规格的选择，可以参考云服务器防御选30G还是100G一文中的说明。

六、DDoS应急处理清单

七、小结

云服务器被DDoS攻击时，按流程处理：先判断是否被攻击，联系机房启动清洗，判断攻击类型，止损和恢复业务，事后复盘和长期防御。流量攻击靠机房清洗，CC攻击靠应用层防护。建议业务上线前评估攻击风险，选择防御规格匹配的机房，做好系统层加固和应急预案。