网站被DDoS攻击怎么办?越南服务器带宽打满、CC与源站泄露5问排查

越南机房的国际出口主要依赖海底光缆,很多机房本地的清洗能力有限。站点遭到DDoS攻击时,经常是服务器还没扛不住,上游带宽就已经被打满了。下面按“表现—原因—排查—修复”的顺序,整理5个常见问题。排查前请先保存好日志和流量截图,方便之后和服务商沟通。

问题一:带宽突然打满,网站完全无法访问

表现:监控里入方向流量突然升到端口上限,SSH 卡顿或直接断开,ping 丢包严重。

可能原因:UDP 反射放大攻击(NTP、DNS、Memcached 等);攻击流量超过机房给这个 IP 设定的清洗阈值,IP 被临时黑洞。

排查步骤:通过 VNC 或带外控制台登录,执行 iftop -i eth0 或 nload eth0 查看实时流量;再用 tcpdump -nn -i eth0 -c 2000 udp 抓包,看源端口是否集中在 123、53、11211 这几个端口。

快速修复:流量还没超过端口上限时,可以先在本机丢弃这类反射流量,例如 iptables -A INPUT -p udp --sport 123 -j DROP。如果带宽已经打满,本机规则就不起作用了,需要联系服务商确认是否已经黑洞,并申请上游清洗或更换高防 IP。

问题二:带宽不高,但CPU飙升、页面很慢

表现:流量看着正常,但 Nginx、PHP 进程占满 CPU,数据库连接数居高不下。

可能原因:CC 攻击(HTTP Flood)反复请求搜索页、登录接口等动态页面;爬虫或刷接口的程序没有被限速。

排查步骤:执行 awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head -20 统计请求最多的 IP;执行 awk '{print $7}' access.log | sort | uniq -c | sort -nr | head 找出被集中请求的 URL。

快速修复:在 Nginx 中配置 limit_req_zone $binary_remote_addr zone=req:10m rate=10r/s;,并在对应的 location 中加上 limit_req zone=req burst=20 nodelay;;用 fail2ban 自动封禁异常 IP;给热点页面加缓存,对可疑请求加上人机验证。

问题三:连接数暴增,大量 SYN_RECV

表现:新用户连不上,但已经建立的连接还能用。

可能原因:SYN Flood;半连接队列太小。

排查步骤:执行 ss -s 查看连接总体情况;执行 ss -ant state syn-recv | wc -l 统计半连接数量。

快速修复:开启 sysctl -w net.ipv4.tcp_syncookies=1,调大 net.ipv4.tcp_max_syn_backlog=8192,并把 net.ipv4.tcp_synack_retries 调低到 2。确认有效后写入 /etc/sysctl.conf,让配置重启后依然生效。

问题四:已接入高防,源站仍然被打

表现:高防后台显示的攻击流量不大,但源站带宽照样被占满。

可能原因:源站 IP 已经暴露,例如历史 DNS 解析记录、邮件头、子域名直接解析到源站;攻击者绕过高防,直接打源站。

排查步骤:用 dig +short 子域名 逐个检查子域名是否直接指向源站;再查看发出邮件的 Received 头里是否带有源站 IP。

快速修复:更换源站 IP;在防火墙中只放行高防回源网段,例如 iptables -A INPUT -p tcp --dport 443 -s 回源网段 -j ACCEPT,再拒绝其他来源;邮件改用独立服务器发送。

问题五:接入高防后,访问变慢或正常用户被误拦

表现:越南本地或中国大陆用户访问延迟明显增加,部分用户被弹出验证或直接拦截。

可能原因:清洗节点不在越南本地,流量需要绕行到周边地区,延迟通常会增加数十毫秒;防护规则阈值设得太严。

排查步骤:用 mtr -rwc 50 域名 对比接入高防前后的路由路径和延迟;在高防控制台查看拦截日志,确认被拦的是不是正常用户。

快速修复:根据主要用户所在的位置选择清洗节点;攻击结束后适当放宽 CC 防护阈值;把监控探针、支付回调等可信 IP 加入白名单。

合规提示

使用越南等海外机房部署业务时,需要同时遵守越南当地和中国大陆的相关法律法规。“免备案”不等于可以不受监管。高防服务只能用来防御攻击,不能用于反向攻击或任何违法用途。