互聯網創業公司如何防禦 DDoS 攻擊？

在果殼網任職期間經歷過多次DDoS攻擊。那種絕望的心情，還歷歷在目。問題不是你能做什麼，而是機房決定了其實你什麼都做不了。

攻擊者是控制一個足夠大的分布式集群來發起攻擊，各種雜七雜八的包，什麼都會有。根本不在乎你開的什麼服務，也沒那耐心分析你有什麼服務。比如哪怕你根本沒開UDP的任何服務，但他就是發一大堆UDP的包，把你帶寬佔滿。還有啥辦法。

十多年前的OS還沒法應付大量TCP並發連接，於是那個年代有個SYN flood攻擊，就是一大堆SYN包嘗試握手。現代也有，效果大不如前，但是仍然在大流量下可以阻塞受害者的通信能力。

更現實的問題在於，機房的總帶寬有限。當你的伺服器IP段受到攻擊時，他會直接找上級接入商將發給你的包在主幹網上都丟掉。此時雖然知道自己正在被DDoS攻擊，但攻擊包根本就沒到機房，更別說伺服器，於是只能是守著伺服器，毫無流量，等待。

上級接入商大多是壟斷國企，根本沒耐心跟你做任何深層次合作，直接丟包是最簡單方便的方法。同時，即便此時攻擊者停止了攻擊，你也不知道。而想要上級接入商重新開啟給你的包轉發，動則就是個一天的流程。而一旦發現攻擊還沒完，就立刻又是丟包。

那幾年被攻擊時，也火燒火燎的找辦法。嘗試將網站部署到雲計算平台上，依靠對方提供的帶寬冗餘來頂。甚至可能只是拼短期帶寬的費用。當時國內的雲計算提供商試了好幾家，最終都因為沒有足夠的帶寬應對攻擊而拒絕了我們。他們都是出於對果殼網的喜愛和免費幫忙的，能做到這一步也挺不容易了。

有人提到攻擊弱點，我感覺真正這樣花費精力去分析的攻擊者其實不多見。不過大多攻擊確實會避開一些明顯抗攻擊能力不錯的點，比如很多網站的首頁會做靜態化，所以攻擊首頁就不划算。圖片同理，對CPU消耗太小了。

幾個常見的弱點：

1、登錄認證
2、評論
3、用戶動態
4、ajax api

總之涉嫌寫資料庫，聯表查詢，緩存澗出的都是好目標。

所以，回答就是：沒有啥好辦法，耐心等待吧。

看了其他幾個回答提供的方案，分別分析一下：

1、拼帶寬：或者說拼軟妹幣，這不是一點點錢能搞定的，果殼網彼時只買了不足100M帶寬，所在早期機房總帶寬也不足40G，攻擊帶寬都沒見過低於10G的(機房的人後來告訴我的)。假設某便宜機房(肯定不在北上廣深)，帶寬價格為100元/M*月，每月按峰值計費。則要買10G帶寬頂一下，需要的月費是100萬，100萬……

2、流量清洗&封IP：如前述，要這麼做的前提是攻擊包至少要到你的機房。而機房自保的措施導致了數據包根本到不了機房，無解

3、CDN服務：現代CDN提供商還沒有完善的動態網頁加速技術，所以結果就是，你充其量利用CDN保住靜態化的主頁可以訪問，其他任何動態網站功能就只能呵呵了。