传统DDoS攻击的攻击攻击靶心从来不是加密层，而是类型网络层和传输层。说白了，属于就是传统靠海量数据包把带宽或设备连接数打爆。你去看那些老牌攻击工具，攻击攻击比如LOIC、类型HOIC，属于原理都粗暴得很——拼命往目标IP塞UDP垃圾包，传统或者伪造TCP握手请求。攻击攻击

最典型的类型当属ICMP Flood，也就是属于俗称的Ping洪水。这招在1990年代就有人玩，传统现在依然有效。攻击攻击攻击者用僵尸网络向目标服务器发送超大尺寸的类型ICMP Echo Request包，服务器每收一个就得回一个Echo Reply，属于CPU和带宽瞬间被榨干。我见过一次真实案例，某游戏公司被打了半小时，机房交换机直接过热宕机，连管理口都进不去。

UDP Flood更无赖。它伪造源IP，往目标随机端口狂扔UDP数据报。服务器收到后查无此端口，就得回ICMP Port Unreachable消息，一来一回，资源就耗在无意义的应答上。更麻烦的是，UDP流量很难过滤，因为源地址全是假的，你封IP根本封不过来。有个做视频直播的朋友跟我吐槽，他们平台被UDP Flood打到每秒5Gbps，CDN节点全堵死，用户看到的画面全是马赛克。

SYN Flood则是传输层的经典老炮。攻击者发送海量TCP SYN请求，但不完成三次握手。服务器内核里维护的半连接队列瞬间被填满，新来的合法连接请求直接被丢弃。这招对付老旧Linux内核尤其致命，我记得2015年有个电商平台被SYN Flood攻击，支付接口瘫痪了整整四小时，损失惨重。现在虽然有了SYN Cookie等缓解手段，但攻击者会换着花样用随机端口和IP，照样能打穿防护。

还有一类容易被忽略的是DNS Amplification攻击。攻击者伪造受害者的IP地址，向开放的DNS服务器发送小体积查询请求，比如查询一个超大的TXT记录。DNS服务器返回的响应包比请求大几十倍，攻击流量就被放大。这种攻击不需要控制大量机器，几百台DNS服务器就能打出几十Gbps的流量。我亲眼见过一个初创公司的官网被这种方式打挂，原因是他们用的云服务商没做源地址验证。

另外，TCP Connection Flood也算传统套路。攻击者建立大量完整的TCP连接，但连接建立后不发任何数据，就占着连接池不放。服务器能维持的连接数有限，一旦被占满，新用户就再也连不上了。这招比SYN Flood更隐蔽，因为连接状态是正常的，防火墙很难区分是真人还是僵尸。

这些攻击类型有个共同点：它们不关心应用层逻辑，纯粹靠流量和资源消耗取胜。防御手段也无非是流量清洗、速率限制、SYN代理那几板斧。但真正麻烦的是，混合型攻击越来越多，先UDP Flood打乱你阵脚，再SYN Flood补刀，让你的防护设备疲于奔命。搞安全的都知道，传统DDoS不可怕，可怕的是攻击者把传统打法玩出新花样。