始终开启
过滤持续运行，而不是检测到攻击后才启动，因此攻击开始时无需切换。
DDoS 防护亮点
在网络边缘过滤
攻击流量一进入我们的网络就被过滤，不会等到它抵达你的服务器端口。
每个 IP 均已包含
无需加购，也无需单独套餐：每台服务器上的每个 IP 地址均受保护，不额外收费。
攻击不会带来流量账单
每台服务器都不限流量，攻击永远不会变成超额费用。
工作原理
DDoS 防护，分步详解。
- 1
流量抵达网络边缘
发往你 IP 地址的所有流量，都从边缘进入 FlexDedi 网络。
- 2
洪水攻击被过滤
攻击流量在边缘即被过滤，不会堵塞你的服务器端口。
- 3
正常流量照常送达
合法流量照常抵达你的服务器。
- 4
其余交给你的防火墙
主机防火墙和应用层限制，负责处理只有你的应用才能识别的流量。
深入了解
DDoS 防护：你需要了解的要点。
01
边缘过滤能防什么，不能防什么
网络层 DDoS 攻击的目标是耗尽带宽或连接状态，包括 UDP 洪水、利用开放的 DNS、NTP 或 memcached 服务器发起的反射放大攻击，以及 SYN 洪水。边缘过滤正是为这类攻击而设计的，因为它们必须在抵达单台服务器的端口之前就被拦截。
应用层攻击则不同。发送看似合法请求的 HTTP 洪水，或反复冲击登录页面的机器人，在网络层看起来可能与普通流量无异。这类攻击需要在你自己的技术栈中应对：
- 在 NGINX、HAProxy 或 API 网关中配置限流。
- 启用缓存，避免每个请求都重新生成开销大的页面。
- 为经常成为攻击目标的公开 Web 应用前置 CDN 或 Web 应用防火墙。
如果发现异常流量或服务降级，可随时（7×24 小时）提交工单，并注明受影响的 IP 和时间段。
02
加固过滤层后的服务器
服务器暴露得越少，DDoS 防护的效果就越好。一份简短的检查清单：
- 默认拒绝的防火墙：用 nftables 或 ufw 只放行你提供服务的端口，并将 SSH、RCON、数据库和管理面板限制为仅允许你自己的地址或内网访问。
- 不要沦为放大器：切勿将开放的 DNS 解析器、NTP monlist、memcached 或 SSDP 暴露在互联网上。攻击者正是利用这类配置不当的服务攻击他人，我们的可接受使用政策同样适用于此。
- 内核参数：保持 SYN cookies 开启（
net.ipv4.tcp_syncookies = 1，即 Linux 默认值），并根据峰值流量设定连接跟踪表的大小。 - 应用层限制：在 Web 服务器或游戏服务器中，限制每个客户端 IP 的连接数和请求数。
对于游戏服务器和其他 UDP 服务，还应限制查询端口并及时更新服务端软件，因为协议层漏洞只需极少的流量就可能被利用。
继续探索
相关功能。
常见问题
DDoS 防护，有问必答。
需要手动开启 DDoS 防护吗？
不需要。每台服务器的每个 IP 地址都始终开启防护，无需激活或配置。防护已包含在月费中，不额外收费。
攻击流量会计费吗？
不会。每台 FlexDedi 服务器的入站和出站流量均不限量，没有超额费用。账单不会因攻击而改变。
能防御应用层攻击吗？
边缘过滤针对的是网络层洪水攻击，例如 UDP、反射和 SYN 攻击。看似合法的请求，例如针对登录页面的 HTTP 洪水，需要应用层防御：限流、缓存；对于经常成为攻击目标的应用，还应在前端部署 CDN 或 Web 应用防火墙。
游戏服务器也包含 DDoS 防护吗？
包含。每台服务器的每个 IP 都受保护，包括用于架设游戏服务器的 Core 16 和 Core 16X。请保留主机防火墙，并将 RCON 等管理端口限制为仅允许你自己的地址访问。