海外 VPS 遭遇 DDoS 攻击导致三网直连中断时，最推荐的应急处理方向是立即启用服务商提供的高防 IP 或切换至 CDN 接入，适用场景为业务流量被攻击流量淹没导致路由黑洞。最重要的风险边界是本地防火墙无法抵御大流量攻击，盲目重启可能延长服务恢复时间。

命令速用版

以下命令用于快速确认网络状态和连接数，需在服务器可 SSH 登录或通过 VNC 控制台执行。

ping -c 4 8.8.8.8
mtr -rwC 10 8.8.8.8
ss -ant | grep ESTABLISHED | wc -l
iptables -A INPUT -p tcp `--dport` 80 -m limit `--limit` 25/minute `--limit-burst` 100 -j ACCEPT

为什么会这样

三网直连中断通常是因为攻击流量触发了运营商的路由黑洞策略。DDoS 攻击会填满 VPS 所在机房的出口带宽，或者导致上游运营商认为该 IP 存在安全风险而自动切断路由。本地服务进程可能仍在运行，但外部数据包无法到达服务器，表现为 ping 不通或丢包率 100%。

分步处理

第一步：确认攻击状态。登录 VPS 服务商控制面板，查看带宽监控图表。如果入站流量持续跑满带宽峰值，且伴随大量异常 IP 连接，可确认为 DDoS 攻击。

第二步：联系服务商。提交工单或联系在线客服，询问是否触发黑洞策略以及黑洞时长。部分服务商提供免费或付费的流量清洗服务，申请开启可暂时恢复连通。

第三步：切换入口。如果源站 IP 已暴露且无法清洗，立即将域名解析切换至 CDN 服务商。CDN 节点会分散攻击流量，保护源站 IP 不再直接暴露在公网。

第四步：本地加固。在服务器内部配置防火墙限制单 IP 连接数。使用 iptables 或 firewalld 限制 SYN 包速率，防止少量漏网流量耗尽服务器资源。

怎么验证是否生效

执行 MTR 测试，观察从国内三网节点到服务器的路由路径。如果中间节点不再出现连续星号（*）或高丢包，说明路由恢复。检查业务端口 telnet 测试，确认 TCP 握手成功。查看服务器系统负载，确认没有因处理大量垃圾包导致 CPU 满载。

常见坑

不要依赖本地防火墙抵御大流量 DDoS。iptables 规则在网卡层面生效，但攻击流量在到达网卡前可能已堵塞机房带宽。不要频繁重启服务器。重启不会改变 IP 被黑洞的状态，反而可能导致服务启动脚本错误。注意 CDN 配置风险。切换 CDN 后需确保源站 IP 不再被泄露，否则攻击者仍可绕过 CDN 直接攻击源站。

常见问题

黑洞策略通常持续多久？

不同服务商策略不同，通常从 30 分钟到 24 小时不等。部分廉价 VPS 提供商可能没有自动解封机制，需手动申请。

CDN 能完全防御 DDoS 攻击吗？

CDN 能隐藏源站 IP 并分担部分流量，但针对应用层的 CC 攻击仍需配合 WAF 规则。如果攻击流量超过 CDN 套餐上限，服务仍会中断。

更换 IP 能解决问题吗？

更换 IP 可以暂时避开当前攻击目标，但如果攻击者针对的是域名而非 IP，新 IP 暴露后仍会被攻击。必须配合域名解析切换使用。