凌晨三点，攻击手机疯狂震动。防御服务器监控群弹出几十条告警，软件带宽图直接拉成一条直线——40Gbps的攻击流量灌进来，源IP遍布全球。防御这不是软件什么电影桥段，是攻击去年我帮朋友处理的一次真实DDoS攻击。他那台小破服务器跑着个独立游戏后端，防御平时峰值也就几百兆。软件攻击持续了十七分钟，攻击机房直接拔了网线。防御

DDoS防御软件干的软件事，说白了就一句话：在洪水里把真正的攻击用户捞出来。但怎么捞，防御各家做法差得远。软件

最常见的路子是流量清洗。软件在机房入口架一道“筛子”，把流量引到清洗中心过一遍。正常请求放行，恶意包丢掉。听起来简单，实际难点在于——你得在几毫秒内判断一个包是正常玩家发的，还是攻击脚本伪造的。判断错了，要么误杀真实用户，要么漏掉攻击流量。我见过一款国产清洗软件，规则写得极其粗暴：每秒同IP超过50个请求就拉黑。结果一个公司内网出口IP被整个封掉，因为他们午休时几百号人同时刷网页。

另一类走的是CDN分布式防御。把域名解析到遍布各地的节点上，攻击流量被分摊到几十上百台机器，单点压力骤降。Cloudflare、Akamai都这么干。但小团队用不起——最低档的企业套餐一个月也要两百美金。而且有个坑：如果你的业务本身依赖真实客户端IP做风控，套了CDN之后拿到的是节点IP，风控逻辑全废。我试过给一个电商站套免费CDN，结果他们的反欺诈系统把全国用户都标记成同一个“可疑IP”，订单直接砍半。

还有种思路是行为分析。不只看流量大小，还看请求特征。比如正常用户访问网页会先加载HTML，再拉CSS和图片，间隔几十到几百毫秒。攻击脚本往往并发请求一堆静态资源，没有这个时序。有款叫Wallarm的软件就靠这个逻辑做判断，误杀率确实低。但它吃CPU，一台4核8G的机器跑起来，处理三千QPS就到头了。

说个反直觉的观察：大部分中小网站根本不需要专门的DDoS防御软件。攻击者也是要算成本的，打你一个小博客，租僵尸网络的钱比你能造成的损失还高。真正容易被盯上的是三类：游戏私服、博彩站、以及有竞争对手的电商。前两个是黑产互殴，第三个是商业恶意。

如果你确实需要，先搞清楚攻击类型。流量型（UDP洪水、ICMP洪水）靠清洗设备硬扛。应用层（CC攻击、慢速连接）得靠WAF规则和速率限制。混合型最麻烦，得两层一起上。我自己的做法是：源站只允许CDN回源IP访问，服务器上装个fail2ban做基础封禁，再在CDN那层开速率限制。三层下来，挡住90%的自动化工具没问题。剩下的，看命。

最后提一嘴硬件。有些防御软件标称能处理100Gbps，但你得看看它跑在什么机器上。我实测过一款开源方案，在双路E5的物理机上跑，超过8Gbps就开始丢包。厂商宣传的数据是在实验室用DPDK加速、网卡直通、CPU绑核调优之后跑出来的。你买回来装在自己虚拟机里，性能打三折都算好的。

防御这事没有银弹。软件能帮你争取时间，但真正扛住攻击的，往往是带宽冗余和架构设计。别指望装个软件就高枕无忧——那跟买了个灭火器就敢在加油站抽烟，是一个道理。