主机托管与服务器提供商的 DDoS 防护

从客户看不到的托管边界开始

隔离的虚拟机背后仍有共享瓶颈

虚拟机隔离不会创建独立的上联、网卡队列或虚拟化主机容量。带宽图看似不高时，主机也可能耗尽包处理资源。请分别观察物理接口、宿主机与虚拟机。

同一网络承载不同业务

VPN、邮件、游戏服务器和网站的正常流量模式并不相同。一条统一规则可能把过载变成误拦截。请明确受影响前缀或服务，以及谁有权批准变更。

转售链条中的责任归属

托管商、最终客户和上游，可能分别负责寻址、路由和事件响应的不同部分。应约定谁验证宣告、报告误报，以及向客户通知恢复。

选择过滤层的运营方

受保护网络服务可以交付到托管网络边缘。拥有合适设备的运营方也可评估 Defense Fabric 本地过滤。软件许可、传输和面向租户的服务仍是不同责任。

1. 1

   保护共享入口

   确定前缀或公网端点、交付带宽和上游防护范围。

2. 2

   实施有明确负责人的本地策略

   如需本地过滤，请验证服务器硬件、端口布局、流量分布及所选规则。

3. 3

   验证租户体验

   使用实际支持的业务组合测试真实连接，并保留恢复旧策略的路径。

以下为部署顺序示例。实际交付服务以报价和验收记录为准。

影响设计的问题

您需要托管交付，还是控制自己的过滤服务器？

应比较运营范围，而不只是许可与 Transit 价格。本地过滤需要兼容硬件、维护、观察和约定的响应流程。

哪些流量会经过多个过滤节点？

明确入口、回程、状态归属及故障切换行为。增加节点或接口，并不自动保证损失一个节点后仍有可用容量。

如何在运营上区分客户？

维护获授权前缀或端点与服务负责人、策略之间的最新映射。事件分析应依据该记录，不能假定共享地址或宽泛规则只对应一个客户。

测试具有代表性的托管业务组合

• 记录实际销售服务的成功连接，包括共用源地址的业务。
• 在同一时间区间观察宿主机队列、丢包、规则计数和应用成功率。
• 演练约定的策略回退与备用路径，再确认未受影响租户的服务仍然可用。

此部署的常见问题