评估 DDoS 清洗能力不能只看厂商宣传的总带宽，应该根据业务正常流量峰值、行业风险等级和历史攻击记录来测算。单点防御能力不足是大多数业务被击穿的核心原因，高风险行业建议预留 T 级单点防御能力。

核心估算公式

这个问题不适合用单一命令解决，但可以用以下公式快速估算基础需求：

清洗带宽 = 正常业务流量峰值 + 预估攻击流量峰值 + 20%-30% 冗余带宽

例如电商网站促销期间正常流量峰值为 50Gbps，考虑到行业风险，预估攻击流量可能达到 200Gbps，那么清洗带宽至少需要 300Gbps 以上。注意：这里的带宽指的是单 IP 可清洗带宽，而非厂商全节点总和。

分步实操与配置

第一步：统计业务流量基线

查看过去 3-6 个月的流量监控数据，找出正常业务流量峰值。不同云厂商查看路径如下：

• 阿里云：登录云监控控制台 > 云服务监控 > DDoS 防护 > 查看“公网流量”趋势图。
• 腾讯云：登录云监控 > 网络安全 > DDoS 防护 > 查看“业务带宽”监控。
• 自建服务器：可使用命令 iftop -P -n 实时查看网卡流量，或使用 tcpdump -i eth0 -nn port 80 抓包分析特定端口流量基线。

安全性要求较高的业务在平时流量平稳时，可以适当降低清洗阈值以提高敏感度，但需配合白名单使用。

第二步：评估行业风险等级

金融、电商、游戏等行业更容易成为攻击目标，建议选择 T 级防御能力。如果过去曾遭受大规模 DDoS 或 CC 攻击，可根据攻击强度选择相应的防御能力。行业共识是高风险行业需要更高防御等级，切勿仅凭厂商宣传的“总带宽”做决策。

第三步：计算清洗带宽需求

使用公式：清洗带宽 = 正常业务流量峰值 + 预估攻击流量峰值 + 20%-30% 冗余。预估攻击流量需要考虑网络重要性、面临的威胁程度等因素。重要金融机构、网站等由于重要性较高，更容易成为攻击目标，预估的攻击流量峰值可能会相对较高。

第四步：验证厂商单点清洗能力

不要只看官网宣传，要求厂商提供第三方测试报告或进行实际压测。关注单 IP 实际能扛住的峰值流量，而不是总储备带宽。超过单点阈值后的处理方式也很重要，有些产品会触发黑洞，有些会限速丢包，有些支持弹性扩容。

合规验证方法

严禁私自发起攻击测试。验证防护能力需遵循以下合规流程：

1. 提交申请：需先向云厂商提交压力测试申请并获得书面批准，严禁私自发起流量攻击测试，否则可能触发封禁或法律风险。
2. 使用官方工具：建议使用云厂商提供的官方拨测工具或合规的第三方安全服务进行评估。
3. 监控指标：日常监控中，关注清洗率（拦截的攻击报文数/仪表发送的攻击报文总数×100%），运营商集采标准通常要求清洗率达到 99% 以上。同时监控误判率（被丢弃的合法报文数/仪表发送的合法报文总数×100%），一般要求低于 0.1%，误判率直接影响业务连续性。

阈值调整与避坑

阈值设置过高起不到防御效果，设置过低触发流量清洗可能会影响正常访问。

• 敏感业务配置：对于金融交易业务、政府关键信息系统，调整阈值需配合白名单机制，并在非高峰期逐步测试，避免误拦截正常交易流量。
• 高峰期策略：在网站进行推广或促销活动时、游戏大型赛事期间或视频直播平台在热门主播开播时段等，可以调高清洗阈值，避免因正常业务流量高峰而触发误判。
• 避免误报：单纯追求高清洗容量可能忽视误报率，若将正常流量误判为攻击并拦截，会导致业务受损。建议通过压力测试验证防护服务在极限攻击下的稳定性。
• 单点 vs 总量：注意区分总储备带宽和单点清洗能力，对绝大多数中小业务来说，攻击通常只会打到你分配的那一个 IP 上，厂商总储备再大，如果单点能力不足也没用。

建议定期查阅云厂商官方文档（如阿里云 DDoS 防护文档、腾讯云网络安全文档）获取最新的配置指引和阈值建议。