DDoS 攻击凭借 “海量流量压制” 的特性，成为威胁服务器稳定的主要风险之一。防御并非单一操作，需从 “拦截攻击流量、优化服务器抗压力、提升架构韧性” 多维度入手小编整理 11 种覆盖个人、中小企业到大型企业的有效防御方法，既有零成本的基础配置，也有专业级的防护方案，助你按需构建抗 DDoS 防线。
一、基础防御：零成本筑牢第一道防线(适合个人 / 小型服务器)
1. 优化服务器内核参数(Linux/Windows 通用)
通过调整系统内核，限制无效连接占用资源：
Linux：执行sysctl命令，如sysctl -w net.ipv4.tcp_syn_retries=3(缩短 SYN 等待时间)、sysctl -w net.ipv4.netfilter.ip_conntrack_max=100000(限制最大连接数)，并将配置写入/etc/sysctl.conf永久生效;
Windows：在 “本地安全策略→IP 安全策略” 中，添加 “单 IP 最大连接数限制”(建议设为 100-200)，避免单 IP 耗尽连接资源。
2. 配置防火墙与安全组规则
仅开放必要端口，阻断异常流量：
云服务器：在控制台安全组中，仅保留 22(SSH)、80(HTTP)、443(HTTPS)等核心端口，关闭 135、445 等易被攻击的端口;
本地服务器：在硬件防火墙(如华为 USG)中，启用 “DDoS 基础防护” 模块，自动拦截 SYN Flood、UDP Flood 等常见攻击流量。
3. 启用 CDN 隐藏真实 IP
利用 CDN 分流并隐藏服务器真实 IP：
选择阿里云 CDN、腾讯云 CDN 等服务，将静态资源(图片、视频)缓存到边缘节点，用户访问时先连接 CDN，不直接触达源服务器;
配置 “仅允许 CDN 节点 IP 访问源服务器”，在服务器防火墙中添加 CDN 节点 IP 白名单，彻底隔绝外部直接攻击。
4. 安装开源防护工具
通过轻量工具自动识别攻击 IP：
部署 Fail2ban：监控 SSH 登录、Web 访问日志，多次失败请求的 IP 会被临时封禁(默认封禁 10 分钟)，适合抵御小规模暴力攻击;
使用 DDoS Deflate：定期扫描服务器连接数，超过阈值的 IP 自动加入黑名单，支持邮件告警，方便及时发现攻击。
二、进阶防御：专业工具与服务提升抗攻击能力(适合中小企业)
5. 采购专用抗 DDoS 硬件
针对中流量攻击(10-100Gbps)，硬件防护效率更高：
选择深信服 AD、山石网科 NGAF 等设备，这类硬件集成 “流量清洗” 芯片，能在毫秒级过滤 UDP Flood、ICMP Flood 等攻击流量，处理能力可达 100Gbps 以上;
部署在服务器前端，所有外部流量先经硬件过滤，仅正常流量进入服务器。
6. 购买云服务商 DDoS 高防服务
借助云服务商的海量带宽抵御攻击：
选用阿里云企业版高防、腾讯云大禹高防，防护能力覆盖 100Gbps-1Tbps，支持 HTTP/HTTPS 流量清洗;
配置 “高防 IP 转发”，将域名解析指向高防 IP，攻击流量在高防节点被过滤，正常流量通过隧道转发到源服务器，隐藏真实 IP。
7. 搭建多服务器集群与负载均衡
分散流量压力，避免单点故障：
用 Nginx 或云服务商负载均衡(如阿里云 SLB)，将流量分发到 3 台以上 Web 服务器，单台服务器负载降低，抗攻击能力提升 3-5 倍;
数据库与 Web 服务器分离，部署在不同网段，即使 Web 服务器遭攻击，数据库仍能正常运行，减少业务中断损失。
8. 启用 Web 应用防火墙(WAF)
防御应用层 DDoS 攻击(如 HTTP Flood)：
部署阿里云 WAF、百度智能云 WAF，通过 “人机识别” 算法，区分正常用户与攻击脚本(如验证码、行为分析);
配置 “请求频率限制”，对单 IP 的 HTTP 请求频率设为每秒 10-20 次，超过则临时拦截，抵御模拟正常用户的攻击。
三、高级防御：定制化方案应对超大流量攻击(适合大型企业)
9. 部署私有高防集群
针对 1Tbps 以上超大流量，构建专属防护体系：
与云服务商合作，搭建分布式高防集群，通过多个地域的高防节点分流攻击流量，防护能力无上限;
集成 AI 攻击识别模型，实时学习新型攻击特征(如 AI 生成的虚假请求)，动态调整防护策略，降低误判率。
10. 接入运营商抗 DDoS 专线
从骨干网层面过滤攻击流量：
向电信、联通申请 “抗 DDoS 专线”，攻击流量在运营商骨干网被拦截，不进入企业内网，源头阻断攻击;
专线配备 SLA 保障(如 99.99% 可用性)，适合金融、政务等对稳定性要求极高的核心业务。
11. 建立应急响应与演练机制
提升攻击发生时的处置效率：
组建安全团队，制定应急预案：攻击发生时，10 分钟内切换高防 IP、调整防护规则，30 分钟内完成流量清洗;
每季度开展 DDoS 攻击演练，用 JMeter 模拟 100Gbps 流量攻击，验证防护系统有效性，优化薄弱环节。
防御 DDoS 攻击需 “按需选择方法”：个人用户通过内核优化、CDN 等基础方法即可应对小流量攻击;中小企业依赖高防服务、负载均衡提升抗压力;大型企业需定制私有高防集群与专线。11 种方法覆盖 “拦截 - 分流 - 抗压 - 应急” 全流程，核心是构建 “多层防护体系”，单一方法难以抵御所有攻击，组合使用才能最大化防御效果，确保服务器在攻击下稳定运行。
