不同规模的业务该如何选择防御带宽？

很多业务在购买安全服务时，都会先问“需要多少G防护”。但防御带宽如何选择，不能只拿日常带宽乘以一个倍数。一个访问量不大的管理系统，可能被高频小包拖垮；一场活动页面则可能出现流量短时间集中增长。更稳妥的做法，是把业务规模、流量形态和可承受中断时间放在一起判断。

先分清三种带宽

业务带宽是正常用户访问、上传和下载所消耗的资源；防护带宽是防护节点能够识别和承受的攻击流量上限；回源带宽是清洗后的正常请求回到服务器或云主机所需要的线路能力。三者并不相等。

例如，一个线上预约系统平时只需要约20Mbps，活动期间可能达到80Mbps。若购买100Mbps业务线路，同时配置更高的防护上限，通常比直接购买1Gbps源站出口更合理，因为攻击流量应在靠近网络入口的位置被拦截。反过来，如果清洗后的正常访问也会持续超过源站出口，防护带宽再大，页面仍可能响应缓慢。

按业务规模判断起步范围

小型业务：重点是避免单点失守

适合对象包括企业展示站、个人会员系统、内部协作门户和访问量较低的地方服务页面。此类业务通常可以从1Gbps至5Gbps级别的DDoS防护起步，具体仍需看服务商是否同时限制连接数、端口数或每秒数据包数。

小型业务的预算有限，优先选择接入简单、告警清楚、支持自动切换的方案。若服务器只有单台，建议先确认源站隐藏、管理入口限制和备份恢复流程。防护带宽如何选择，在这一阶段不宜只追求更大的峰值，而应保证攻击发生时仍能登录控制台、查看日志并恢复服务。

中型业务：按峰值和协议组合配置

区域电商、SaaS应用、在线考试平台等业务，往往同时存在网页请求、文件下载和接口调用。建议先统计连续30天的95分位流量，再观察促销、报名或考试开始时的短时峰值。若正常峰值约为200Mbps，可把业务承载能力按约300至500Mbps规划，并单独购买数Gbps级别的攻击防护，避免把突发访问和攻击容量混为一谈。

中型业务还要关注每秒数据包数。小包攻击的Mbps可能不高，却会快速消耗防火墙、负载均衡器或云主机的处理能力。选择方案时应询问是否公布PPS能力、并发连接数、UDP或QUIC等协议支持，以及清洗后是否保留真实来源信息。

大型业务：按风险等级和可用性采购

全国性平台、交易系统、热门内容服务和大型活动入口，通常不能只依赖一条防护线路。防御带宽如何选择，应先区分核心交易、静态内容、接口服务和后台管理等区域，再决定是否需要不同的防护策略。

大型业务可考虑10Gbps及以上的防护能力，但这个数值只是容量参考，不代表所有攻击都能被同一策略解决。还应核对清洗中心的覆盖位置、路由切换时间、跨区域接入能力、备用节点和服务等级条款。对支付、订单或身份认证等关键链路，应重点验证连接保持、故障切换和攻击期间的降级方案。

一套可执行的选择步骤

1. 整理流量基线：记录至少两到四周的平均带宽、日峰值、突发峰值、并发连接和每秒数据包数，并把正常用户流量与备份、更新等后台流量分开。
2. 标记业务优先级：将页面、接口、文件服务和管理入口分别列出，明确哪些可以限速，哪些必须持续可用。
3. 测算防护区间：业务承载能力可按历史峰值上浮约30%至100%预留；攻击防护上限则根据业务暴露面、历史事件和行业风险另行配置，不能简单套用同一倍数。
4. 核对技术限制：确认支持的协议、端口、PPS、并发连接、长连接时长、IPv4和IPv6接入方式，以及清洗后回源线路的实际能力。
5. 做一次切换演练：在低峰时验证域名切换、源站封禁、告警通知、备用节点和回滚流程，记录从发现异常到恢复访问所需的时间。

不要只比较“多少G”

如果预算只能覆盖一项能力，通常应先保障核心入口和源站隔离，再逐步增加备用线路、应用层规则和监控。防御带宽如何选择的最终答案，不是一个固定数字，而是让防护容量、正常业务出口和故障恢复目标彼此匹配。

常见问题

防护带宽越大越好吗？

不一定。若源站出口、负载均衡或应用处理能力较小，单纯增加防护上限并不能提升正常访问能力，还可能增加成本。

只有几十兆业务流量，需要Gbps防护吗？

可以根据暴露面和中断风险决定。小业务也可能遭遇远高于正常流量的攻击，但应同时确认清洗、回源和服务响应条款。

只看峰值流量够不够？

不够。还要看每秒数据包数、并发连接、协议类型和长连接数量。小包或连接型攻击可能在带宽尚未打满前影响设备性能。

多久重新评估一次？

建议至少每季度复核一次；发生业务扩张、架构迁移、重大活动或攻击事件后，应立即重新评估防御带宽如何选择。