TG咨询面对DDoS防护方案时，很多人先比较“100Gbps”和“1Tbps”。但防御带宽如何选择，不能只看宣传页面上的最大数字。攻击流量可能以大包、碎片包、海量小包或连接请求的形式出现；即使带宽尚未达到上限，防护节点的PPS、并发连接数、清洗延迟或回源链路也可能先成为瓶颈。
先区分三种带宽：业务、回源与防御
业务带宽是正常用户访问产生的流量，例如商品详情页、视频点播、API调用和文件下载。它决定源站平时需要承载多少流量，但不等于攻击规模。
防御带宽通常表示清洗节点能够识别并处理的流量上限。它解决的是“攻击流量到达防护节点后能否被拦截”的问题。回源带宽则关系到清洗后的正常请求能否顺利送回源站。如果防御带宽很大，而源站出口只有较小容量，攻击虽被清洗，正常用户仍可能因回源拥塞而访问缓慢。
因此，防御带宽如何选择，第一步不是直接选最高规格，而是画出“用户—防护节点—源站—数据库或存储”的链路，分别记录每一段的带宽、连接数和可承受延迟。
决定规格的四个关键指标
1. 正常峰值与突发增长
应至少收集连续7至14天的入口流量，区分工作日、周末、活动时段和夜间低谷。对一般网站，可以在正常峰值基础上预留约30%至100%的业务增长空间；如果存在预约开放、促销开场或内容发布等突发事件，还要单独设计突发容量。
这里的预留是业务承载空间，不是攻击防御上限。把两者混为一谈，容易造成规格过大或配置不足。
2. Gbps与PPS是否匹配
带宽以Gbps计算，PPS则表示每秒处理的数据包数量。大包攻击可能迅速占满带宽，小包攻击的总流量未必很高，却会消耗网卡、中间设备和防火墙的报文处理能力。
例如，同样是1Gbps，使用较大数据包的流量与大量小数据包在设备上的压力并不相同。提供商若只承诺带宽，不说明PPS、包大小范围和协议覆盖，不能据此判断真实防护效果。
3. 协议、端口与连接行为
HTTP、HTTPS、DNS、游戏协议和物联网上报的攻击特征不同。某些攻击消耗的是TCP连接表，某些则集中制造UDP报文或HTTP请求。选择时应确认防护是否支持所用协议、端口和IPv4或IPv6环境，并询问是否具备连接速率限制、协议校验和应用层规则。
4. 防护持续时间与恢复方式
短时突发与持续数小时的攻击，对资源和服务商响应机制的要求不同。需要确认是按固定防护能力提供，还是按峰值流量、清洗时长或超出部分计费；还要了解攻击期间能否调整策略、是否支持自动切换，以及解除防护后的DNS或路由恢复时间。
防御带宽如何选择：一套可执行的步骤
- 整理基线。记录入口Mbps、峰值时段、请求数、并发连接、错误率和源站CPU、内存、网卡使用率。至少覆盖一次正常高峰。
- 拆分业务类型。把网页、API、文件下载、实时通信和管理后台分别列出。文件下载重带宽，API可能更依赖请求速率，不能用一个平均值代表全部业务。
- 确认最弱环节。检查源站出口、负载均衡、数据库连接池、应用线程和防火墙会话表。若这些位置更早达到上限，单纯增加防御带宽收益有限。
- 向服务商索要边界条件。重点询问最大Gbps、PPS、最大并发连接、支持协议、清洗延迟、回源带宽、IPv6能力和超限处理方式，并要求区分标称峰值与长期可用能力。
- 按场景验证。在获得授权的测试环境中，观察正常流量经过防护后的延迟、状态码、连接建立时间和源站资源变化。不要直接对生产系统进行未经授权的压力测试。
不同场景的选择思路
小型企业官网、地方公共服务页面或低频访问的SaaS入口，通常更需要稳定的基础清洗、DNS保护和明确的应急联系人，而不是盲目购买超大带宽。若正常流量只有数Mbps至数十Mbps，先确认最小防护规格、PPS和应用层防护是否满足需求。
电商活动页、在线报名系统和在线课堂在特定时段会明显放大访问量。这类业务应把活动流量与恶意流量分开估算，并准备缓存、排队、限流和静态资源分离方案。防护节点即使能处理大流量，源站接口也可能因数据库查询或登录请求过多而变慢。
文件分发、软件更新和视频业务的带宽消耗较高，更适合使用CDN或对象存储分担静态内容。此时防御带宽应重点保护源站、鉴权接口和管理入口，不必把所有大文件流量都压回源站。
常见误区与判断标准
- 只比较最高Gbps：应同时比较PPS、连接容量、协议支持和清洗位置。
- 把业务峰值当攻击上限：正常峰值用于规划服务容量，攻击上限还要结合风险等级和预算。
- 忽视回源链路：清洗后流量仍需进入源站，回源带宽和应用处理能力必须匹配。
- 只关注网络层：大量合法格式的请求可能消耗登录、搜索或下单接口，仍需应用层限流和验证码等措施。
常见问题
防御带宽是不是越大越安全？
不是。若PPS、协议覆盖、回源能力或应用层防护不足，大带宽也可能无法解决实际故障。
小网站需要购买Tbps级防护吗？
通常不必直接按最高规格购买，应先看业务价值、暴露端口、历史攻击情况和服务商的基础清洗能力。
如何判断供应商的带宽承诺是否有意义？
要求对方同时说明PPS、最大连接数、支持协议、清洗时延、持续防护条件和超限处理规则，不能只看一个Gbps数字。
没有攻击记录时怎么估算？
先用正常峰值、公开端口数量、业务重要程度和可接受中断时间建立初始规格，再通过监控和演练逐步修正。最终，防御带宽如何选择应服务于整体可用性，而不是追求一个最大的宣传数字。
