Website Under DDoS Attack? 5 Common Issues and Fixes for US-Hosted Sites

美国机房国际带宽资源比较充足，但面向全球开放，也更容易遇到DDoS攻击。站点被攻击时，先判断攻击类型，再按顺序处理，比盲目重启或频繁换IP更有效。下面按常见场景逐一说明。

问题一：网站突然打不开，带宽跑满

表现：Ping丢包严重，SSH登录卡顿，控制面板显示入网流量远超平时。

可能原因：

• UDP Flood、反射放大（如DNS、NTP、Memcached）等流量型攻击；
• 攻击流量超出机房默认防护阈值，IP被临时黑洞。

排查步骤：用 iftop -i eth0 -n 查看实时流量来源；用 tcpdump -i eth0 -nn -c 1000 udp 抓包，确认源端口是否集中在53、123、11211等。同时查看服务商控制台，确认IP是否处于黑洞状态。

快速修复：流量型攻击在服务器本机基本无法解决，带宽被打满后防火墙规则也不起作用。应联系机房开启清洗，或把业务切换到高防IP。黑洞期间一般需等待解封，不要反复申请提前解封。

问题二：带宽正常，但CPU高、频繁出现502

表现：流量不大，Nginx或PHP-FPM进程占满，访问日志中同一URL被大量请求。

可能原因：

• CC攻击，针对搜索、登录等动态页面；
• 恶意爬虫或接口被刷。

排查步骤：执行 ss -ant | awk '{print $5}' | cut -d: -f1 | sort | uniq -c | sort -rn | head 统计连接数较多的IP；执行 awk '{print $1}' access.log | sort | uniq -c | sort -rn | head -20 找出请求频率异常的来源。

快速修复：在Nginx中配置 limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s; 并在 location 中加入 limit_req zone=one burst=20;；对明显的恶意IP执行 iptables -I INPUT -s 攻击IP -j DROP。也可以部署 fail2ban，自动封禁异常来源。

问题三：已接入高防，源站仍被打

表现：高防IP流量正常，但源站依然被攻击。

可能原因：

• 历史DNS记录、邮件头或子域名暴露了源站真实IP；
• 源站未限制访问来源。

排查步骤：检查所有子域名解析是否都已指向高防；查看邮件服务是否与网站共用同一IP；用 ss -ant state established 确认是否仍有非高防回源段的连接。

快速修复：更换源站IP，并在安全组或 iptables 中只放行高防回源IP段，例如 iptables -A INPUT -p tcp --dport 443 -s 回源网段 -j ACCEPT，然后默认丢弃其他来源。邮件服务建议单独部署。

问题四：接入高防后，中国内地访问变慢

表现：美国本地访问正常，内地用户延迟明显升高。

可能原因：

• 清洗节点与源站不在同一区域，流量绕路；
• 高防线路回国质量一般，跨太平洋链路延迟通常在150ms以上。

排查步骤：在内地终端执行 mtr -n 高防IP，观察丢包出现在哪一跳；对比西海岸和东海岸节点的延迟差异。

快速修复：主要用户在内地时，优先选择西海岸清洗节点，并确认是否提供回国优化线路；静态资源可交给CDN分发，减轻回源压力。

问题五：正常用户被误拦截

表现：部分用户频繁遇到验证码，或接口返回403。

可能原因：

• 防护策略过严，或限速阈值设得太低；
• 同一出口IP下有大量用户，如企业网络或移动网络。

排查步骤：在高防或WAF日志中筛选被拦截的请求，核对其User-Agent和访问路径；在Nginx错误日志中搜索 limiting requests。

快速修复：攻击缓解后，逐步放宽限速；为支付回调、API等关键接口设置白名单；按地区和路径设置不同策略，不要全站统一使用严格模式。

补充提醒：使用美国机房和高防服务时，需同时遵守美国当地及中国大陆相关法律法规。攻击结束后，建议保留日志并完成复盘，必要时依法向有关部门报案。