通过后端代码判断屏蔽恶意请求来对抗 DDOS 攻击有用吗？

[cokar]

假设我可能遇到一场普通的 DDOS 攻击，攻击流量大概 30~60G ，阿里云服务器默认只保护 5G 流量，超过的就打不开了，基本上一打就死。一般要防御都是上高防 IP ，那样费用也很高。

如果我采用 web 后端代码，通过自己的一些算法能识别出非法请求，然后对非法请求响应空内容，这样能起到防御 DDOS 的作用吗？

因为我响应内容为空，就算加上响应 header 里有一点数据，也不会有多少响应流量，相比正常的网页应该大大减少了响应的流量，这样我就能应对更大的流量攻击。我这样分析对吗？

[geeglo]

完全没用。

[learningman]

你这防的是 CC ，DDoS 进来路由器都崩了

[DrX]

进来的流量超过 5Gbps ，阿里云直接把你网络断开了，你服务器接收到的请求数量是 0 ，你识别个啥？

[x86]

能防住 DDOS 只有加钱

[Inn0Vat10n]

ddos 和你咋响应没关系，都没到应用层

[Aloento]

DDOS 请加钱清洗流量

[westoy]

完全没用， 就算关机一样能把被攻击目标和被攻击目标的邻居一起打爆

[djoiwhud]

没用。

d 防护只有两个办法

1.用钱解决
2.狡兔三窟

[ashine]

ddos 打的流量靠的是进入的方向，和你网站响应的出流量完全没关系，因为 http 的先天特性，网站是没办法拒绝进来的流量的

[cheng6563]

直接把境外 IP 全 ban 了

[cokar]

我看下网上有的说 Nginx 做一些设置或安装相应模块可以应对 DDOS ，实际上是不是也没啥用？

[xlh001]

没有用的,你入口网络量一到限制就直接进行黑洞了,流量压根都不会到机器上

[killva4624]

没用，楼主想的是在应用层做处理，但实际上在网络层就直接把你资源打挂了。
比如最近有恶意客户总想来西点店询问油条多少钱，楼主的想法是让前台学会分辨，一但不是开卖西点的就不管。实际上恶意客户会把你的整个门店甚至门店周围两条街都塞满人，哪怕你的前台再聪明能分辨，也无济于事。

[LLaMA2]

@cokar
他们说的都对，可是这些词汇对于您来说可能不太明白，那么，就让我讲一些简单的吧。
您可能有听过禁 ping 来保护安全，OK ，这完全没问题，那么服务器断禁 ping 了，别人 ping 您的
服务器，从他那里发出来的 ping 数据包难道就不存在了吗？很显然，他事先也不知道您的服务器
这边能不能 ping 通，所以数据包必然会经过层层的网络设备（他的电脑->他的光猫->ISP 的各级网络设备....->您服务器的机房入口网络设备->服务器所在机柜的网络设备->您的服务器）
你看，你仅仅是在您的服务器这里设定了一些规则，很显然其他的网络设备完全没有其他限制啊，那么这个数据包就以上的说法来看，必然会到达您服务器所在的机柜上那个网络设备(也许他是一台交换机)。
假设这台交换机能承载 10G 的网络流量，即便您机房的网络带宽可能高达 9999999G 的网络带宽（哪有这么大的呢！），如果别人能打出大于 10G 的流量，你的机柜交换机就要罢工了，这时候你服务器完全 OK ，CPU 、IO 占用率可能是 2%，可上层网络罢工，你再好也没法和外面交流啊。我亲爱的 OP ，这下，您应该有一些一知半解了吧。

[cokar]

@ye4tar 非常感谢你的解答，了解了

[idc906]

流量一进来阿里云就给拉黑洞了，都进入不到你的服务器，我这边是做安全的，阿里的带宽比较贵，所以他们防 DDOS 成本也高的，如果还有遇到攻击的问题，可以试试我们的，好用不贵可以测试 微 idc906