网站被DDoS攻击怎么办?日本节点高防接入、CC与源站暴露排查指南

发布时间：2026-11-01

网站突然打不开时,先别急着重启服务器,重启不但挡不住攻击,还可能丢失现场信息。日本节点常用于覆盖日韩及东亚访问,到中国大陆的延迟一般约 30–80ms,具体取决于线路,这也是判断异常的参考基线。下面 5 个问题可依次对照处理,命令以 Linux 与 Nginx 为例,网卡名、域名和网段请按实际情况替换。

问题一:网站打不开,怎么判断是不是DDoS攻击?

表现:页面超时,SSH 卡顿或断开,监控显示流量或连接数突然升高。

可能原因:

遭遇流量型或连接型DDoS攻击
促销活动、爬虫带来的正常访问高峰
线路故障或程序异常

排查步骤:SSH 不可用时,改用控制台、VNC 或 IPMI 登录。

查看网卡流量:sar -n DEV 1 5

查看连接概况:ss -s

统计半连接数量:ss -ant state syn-recv | wc -l

从外部测试路径与丢包:mtr -r -c 100 example.com

快速修复:半连接大量堆积时,可开启 SYN Cookies:sysctl -w net.ipv4.tcp_syncookies=1。同时保存流量截图、攻击时间和日志,再联系机房确认是否有告警。

问题二:带宽被打满或IP被封堵怎么办?

表现:入站流量贴近端口上限,丢包严重,甚至所有端口都不通。

可能原因:

DNS、NTP、Memcached 等 UDP 反射放大攻击
攻击流量超过端口带宽
触发机房阈值保护,IP 被临时黑洞

排查步骤:

查看实时流量来源:iftop -i eth0

抓取 UDP 样本,观察源端口是否集中:tcpdump -nn -i eth0 -c 2000 udp

同时向服务商询问 IP 是否被黑洞,以及预计解封时间。

快速修复:

链路已被占满时,本机防火墙作用有限,应请上游做 ACL 过滤或引流清洗
业务不使用 UDP 时,可请上游直接过滤相应协议或端口
将业务切换到高防 IP 或备用线路,并提前把 DNS TTL 调至约 300 秒

问题三:带宽不高,但CPU飙升、频繁502怎么办?

表现:带宽基本正常,CPU 或数据库连接却被占满,Nginx 返回 502、504。

可能原因:

针对登录、搜索等动态接口的 CC 攻击
缓存未命中,请求直接压到数据库
高频爬虫

排查步骤:

统计高频来源 IP:awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -20

统计高频 URL:awk '{print $7}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -20

快速修复:在 Nginx 的 http 段定义限速区域:limit_req_zone $binary_remote_addr zone=perip:10m rate=10r/s;,再在被攻击的 location 中启用:limit_req zone=perip burst=20 nodelay;。速率请按业务调整,修改后执行 nginx -t 检查配置,再执行 nginx -s reload。还可以用 Fail2ban 自动封禁异常 IP,为动态接口开启 WAF 人机验证,并尽量缓存静态页面。

问题四:接入高防后,源站为什么还被攻击?

表现:高防侧流量正常,源站仍然流量异常或宕机。

可能原因:

源站 IP 曾公开解析,留有历史记录
邮件、测试等子域名仍指向源站
源站未限制访问来源

排查步骤:

逐一检查子域名解析:dig +short mail.example.com

在源站抓取非回源流量:tcpdump -nn -i eth0 -c 500 tcp port 443 and not src net 回源网段

快速修复:更换已暴露的源站 IP,把邮件等服务与 Web 分开部署,然后只放行高防回源网段(80 端口同样处理):

iptables -A INPUT -p tcp --dport 443 -s 回源网段 -j ACCEPT

iptables -A INPUT -p tcp --dport 443 -j DROP

问题五:接入高防后变慢或正常用户被拦截怎么办?

表现:延迟明显升高,部分用户收到 403,支付回调失败,日志里的访客 IP 全变成回源 IP。

可能原因:

清洗节点离日本较远,流量绕路
防护规则过严
源站未还原真实 IP

排查步骤:用 mtr -r -c 100 example.com 对比接入前后的路径和延迟;在高防控制台查看拦截日志,确认被拦的 IP、URL 和规则。

快速修复:

优先选择日本或邻近地区的清洗节点,通常增加几毫秒到数十毫秒属于常见范围,实际因线路而异
为支付回调、搜索引擎爬虫配置白名单,新规则先用观察模式,再逐步收紧
在 Nginx 中还原真实 IP:set_real_ip_from 回源网段; 和 real_ip_header X-Forwarded-For;

合规提醒

使用日本机房须同时遵守日本及中国大陆相关法律法规。攻击日志可能包含 IP 等个人信息,应按日本《个人信息保护法》(APPI)等要求妥善保管和使用。遭受攻击后不要自行反击,应保留证据,必要时向执法机关报案。