TG咨询很多人首次采购防护服务时，先问“需要多少G的防御带宽”。但真正决定方案是否有效的，通常是业务峰值、攻击形态、源站出口、协议类型和切换时间。要判断防御带宽如何选择，应把评估、购买、接入和验证连成一套流程，而不是只比较宣传页上的最大防护值。
一、先把业务流量和攻击流量分开
1. 建立至少一周的基线
先从云监控、交换机流量图、负载均衡日志和应用日志中记录入口带宽、每秒请求数、并发连接数、响应状态码及主要端口。普通业务建议观察至少7天；如果存在周末、月末或活动日，应覆盖完整业务周期。
例如，一个企业视频会议门户在工作日出口流量约为40至80Mbps，培训直播开始前可能短时达到150Mbps。这类峰值属于正常业务增长，不能直接当成攻击容量。若带宽突然升高，但有效请求、登录人数和业务订单没有同步变化，就需要进一步排查异常流量。
2. 同时关注带宽、连接数和PPS
带宽适合衡量大流量洪泛，连接数反映会话资源压力，PPS则影响防火墙、负载均衡和网卡处理能力。小包攻击可能带宽并不高，却先耗尽设备处理能力。因此评估防御带宽时，至少要保留入口Mbps、连接数、每秒新建连接数和PPS四项指标。
二、按照风险确定防护规格
带宽规格不是简单相加
可以先用“正常峰值×安全系数”估算清洗后的业务承载量。安全系数通常可取1.5至3，具体取值取决于业务增长速度、是否有活动预告以及源站扩容能力。例如正常峰值约100Mbps、短期增长较快的服务，可先按150至300Mbps的业务承载能力规划，再单独确认攻击防护上限。
这里要区分业务带宽与防御带宽：前者表示防护后允许业务通过的容量，后者表示防护节点能够识别和清洗的攻击规模。防御带宽越大，不代表源站就能承受同样大的回源流量。若源站出口只有200Mbps，防护服务回源配置超过该能力，仍可能因回源拥塞而不可用。
按攻击面和协议选能力
- 网站、API等以HTTP或HTTPS为主的业务，应确认是否支持应用层规则、频率限制、TLS终止和源站隐藏。
- 远程接入、数据库代理等TCP业务，应确认端口范围、连接保持和长连接策略。
- 实时通信、域名解析或在线服务使用UDP时，要确认清洗节点、回源链路和会话状态是否支持UDP，不能仅按网页防护方案购买。
在比较DDoS防护方案时，还要确认清洗触发方式、误封申诉、日志保留时间、告警渠道和人工响应边界。只看“可防多少Tbps”而忽略协议和配置限制，往往无法回答防御带宽如何选择。
三、把接入配置拆成可执行步骤
- 整理资产清单：列出域名、源站IP、业务端口、协议、证书位置、管理入口和允许回源地址。
- 确定接入方式：网站通常可采用DNS解析或反向代理接入；非Web TCP、UDP业务则可能需要高防IP、四层转发或专线类方案。
- 收紧源站入口：在安全组、防火墙或云网络策略中，只允许防护节点回源，管理端口使用独立运维通道，避免攻击者绕过清洗节点直接访问源站。
- 配置健康检查：选择真实业务路径作为检查对象，设置合理的超时和失败次数，避免把静态页面正常而核心接口异常误判为健康。
- 配置限速与规则：针对登录、搜索、上传等高消耗接口分别设定频率策略；规则应先观察、再拦截，减少正常用户被误伤。
- 灰度切换并验证：先为低风险域名或少量解析记录接入，检查证书、真实IP传递、跨域、WebSocket、文件上传和回源日志，再扩大范围。
四、上线后怎样判断方案真的可用
上线验证不能只看网站能否打开。应分别检查正常访问、突发流量、源站直连、回源失败、证书续期和故障切换。监控中至少保留清洗前后带宽、拦截量、放行量、HTTP状态码、连接数和源站响应时间。
如果防护节点支持流量清洗，应确认告警是否能在业务人员发现异常前触发。若使用DNS切换，还要记录解析缓存带来的延迟；若使用四层转发，则要验证源端口、会话保持和长连接超时。防御带宽如何选择，最终要以“攻击期间仍能保住哪些核心业务”为验收标准。
五、每季度复盘一次容量和配置
业务上线新接口、迁移机房、增加地域用户或改变协议后，都可能改变容量需求。建议按季度复盘一次，重新核对正常峰值、增长率、回源上限和防护规则；发生真实攻击后，还应保存攻击时间、协议、端口、峰值、持续时长和受影响功能。
如果预算有限，可以优先保障登录、支付、管理后台等关键路径，把图片、报表导出或批量任务设置为降级服务。这样的分层策略比单纯购买更大的防御带宽更容易控制成本，也更符合业务连续性目标。
常见问题
防护带宽越大越好吗？
不一定。还要匹配源站出口、协议能力、清洗策略和预算；源站承载能力不足时，单纯扩大防护上限无法解决回源瓶颈。
只有网站业务，需要多大规格？
应以正常峰值和增长空间估算，常见做法是按峰值的1.5至3倍规划业务承载量，再根据风险确认攻击防护上限。
DNS接入和高防IP有什么区别？
DNS接入部署较快，适合域名型Web业务，但切换受缓存影响；高防IP更适合需要固定入口或四层转发的业务，配置和回源管理通常更复杂。
怎样确认配置没有被绕过？
检查源站安全组和防火墙，只允许防护节点回源，并通过日志确认外部访问是否仍直接命中源站。
因此，防御带宽如何选择的答案应来自数据、协议和业务优先级，而不是单个容量数字。完成基线采集、规格匹配、源站收紧、灰度验证和持续复盘，才能把防护能力真正落到配置上。
