这篇文章来源于v2ex的一名站长的个人经历，小刀网络觉得不错，就转载给大家参考下，固然其实租赁的阿里云的高防IP小刀网络认为有点浪费，阿里云高防IP又贵防御又小，不像小刀网络提供的防御高价格低价，哈哈！打个小广告。

网站被攻击打不开，服务器被攻击不可用被断网或被封IP影响业务运营，

联系我们，1小时内快速解决！24小时全天候服务，让您无后顾之忧！

或点击QQ咨询 防不住不收取任何费用！

1. 网站是放在阿里云 ECS 上的， DDoS 攻击后网站不能访问。从阿里云的后台看到流量在 10G 左右，网站服务器进入了阿里云的黑洞。

40 分钟后网站从黑洞里出来，瞬间又遭受攻击并打入黑洞。接下来的 3 个小时一直重复这个进程... 有人说阿里云没给防住。其实这真不是阿里云的错，ECS主要是在没有攻击的业务上能保证你。像游戏、棋牌等灰色类，本身攻击多，人家阿里给了你5G左右防御，己非常不错了。所以有攻击的业务且财务允许的情况，可以用阿里云高防IP（不过费用最低价的弹性防御要8800元，超攻击可能另产生一天几万的费用）。

2. 由于已严重影响业务了，所以租赁了阿里云的高防 IP 。 DNS 解析到高防 IP 后，通知客服更换源IP 。本以为高枕无忧，结果刚过了 10 分钟，网站又被打入黑洞。

攻击者应当是找到了新的源 IP ，直接攻击源服务器。由于高防 IP 到源 IP 走的是外网，所以源服务器进入黑洞后，高防 IP 没法连接源 IP ，致使网站又不能访问。下图是高防IP价格图。

3. 发工单咨询了阿里云客服，答复是 使用负载均衡 ELB ，即 高防 IP->负载均衡->源 IP 。负载均衡作为桥梁，与高防 IP 走外网，与源 IP 走内网，这样即使源服务在黑洞中也能够访问了。

4. 对方发现 DDos 无效后，开始了 CC 攻击，网站又堕入了瘫痪中。检查以后发现 Mysql 连接数过量，而且连接状态绝大多数是 Sleep 。查看 php 的 slowlog ，找到了缘由：源服务器某些页面需要对外要求微佩服务器，由于不能访问外网， php 程序阻塞住了，对 Mysql 的连接不能释放。

5. 修改代码将微信和 QQ 相关的连接做了一个代理，对方是没法找到这个代理并打入黑洞的。

6. 攻击者开始变本加厉，最高时流量在 30G ， QPS 有 2 万多，网站大量出现 502 毛病，看来我蹩脚的 PHP 代码已扛不住了。 nginx 日志显示其要求的网址比较固定，因而将这些页面做了静态化处理，并将非法的 POST 要求 ban 掉。哈哈！网站正常了。

有一些经验教训，供大家参考：

黑洞有一个触发值，默许是 5G （ 5GB 的阈值可以根据安全信用增加）。由于之前网站的安全信用很好，以经提高到 12G 了。黑洞的时间最短 40 分钟，最长 2 个半小时。全部攻防进程中，网站的信用评级直线降落，阈值降到 5G ，黑洞时间也延长到两个小时。

阿里云 ECS 是不能更换 IP 地址的，除非租赁他们的高防 IP ，可以避不要钱更换一次（后来发现实际可以更换屡次）。

DDoS 在自己的服务器端是没法防御的，不管是设置安全组或者防火墙，只能去租赁高防 IP 或 CDN 。不过根据这两天的攻击来看，不管是阿里云高防或者 CDN ，在大流量的攻击下，源 IP 或者会暴露的。

DDoS 肯定是竞争对手所为，但不想 DDoS 回去。不能助长这些黑产，也不能像他人一样 Low 。

小刀新式高防技术，替身式防御，具有1.5Tbps高抗D+流量清洗功能，疏忽DDoS,CC攻击，不用迁移数据，隐藏源服务器IP，只需将网站解析记录修改成小刀DDoS高防IP，将攻击引流至小刀集群替身高防服务器，是攻击的IP过滤清洗拦截攻击源，正常访问的到源服务器，保证网站快速访问或服务器稳定可用，接入半小时后，便可正式享受高防服务。