阿里云国际 DDoS 防护选型与接入指南
DDoS 防护不是购买一个“带宽越大越安全”的套餐就结束了。正确选型必须同时考虑源站位置、用户分布、攻击层次、业务协议、可接受中断时间和切换方式。阿里云国际提供内置基础防护、原生增强防护和代理清洗等不同能力，它们在接入方式和适用场景上差异明显。本文由云管家依据阿里云国际官方文档整理，不写固定价格、固定防护能力或永久有效的产品规格；实际可用版本和参数应以控制台及官方文档的实时信息为准。
先理解三类防护能力
Anti-DDoS Basic：云资源的内置基础能力
部分阿里云产品包含基础 DDoS 防护，用于应对一定范围内的常见流量攻击。当攻击流量超过资源对应的清洗或黑洞阈值时，公网地址可能进入黑洞状态，以保护云平台整体网络。阈值并非所有地域和资产都相同，也不应把基础防护理解为无限容量或业务可用性保证。
基础防护适合作为默认底线，不适合作为高风险互联网业务的唯一防护。上线前应在控制台查看目标资产当前阈值、解除条件和通知方式，并设置监控告警。
Anti-DDoS Origin：不更换业务公网地址的增强防护
Anti-DDoS Origin 直接增强符合条件的阿里云资产防护能力，通常不要求修改源站公网地址或现有网络架构。它主要面向网络层和传输层的流量型攻击，适合希望降低接入改造、保护阿里云现有公网资产的场景。
是否适用需要核对资产类型、地域、IP 版本和产品版本。若业务主要面临 HTTP/HTTPS 应用层洪泛，或者源站不在阿里云，仅依靠 Origin 可能无法满足需求，应评估代理型防护及 Web 应用防护能力。
Anti-DDoS Proxy：先清洗再回源
Anti-DDoS Proxy 通过高防 IP 或 CNAME 等方式把业务流量引导至清洗节点，过滤异常流量后再转发到源站。它能够隐藏源站地址，并覆盖网络层、传输层以及部分应用层攻击场景。网站接入通常需要配置域名、协议、端口、证书与源站信息，完成本地验证后再修改 DNS。
代理模式改变了流量路径，因此上线前必须评估回源访问控制、证书、客户端真实 IP 获取、健康检查和 DNS 切换。直接切换生产解析而不验证，可能导致正常用户无法访问。
用业务问题而不是营销参数做选型
源站在哪里
源站是阿里云 ECS、负载均衡等受支持资产，并且不希望改变公网地址时，可先评估 Origin。源站在其他环境、需要隐藏源站，或希望统一保护多个来源时，可评估 Proxy。不要默认所有资产、地域和协议均受支持。
用户从哪里访问
保护节点、源站和用户之间的网络路径会影响体验。用户分布跨地域时，应分别测试正常时段与高峰时段的时延、丢包和连接成功率。跨境网络质量受多种因素影响，任何线路都不应被描述为绝对低延迟或绝不丢包。
攻击发生在哪一层
UDP Flood、SYN Flood 等流量型攻击与 HTTP Flood、恶意爬取、接口刷量不是同一问题。DDoS 防护不能替代 WAF、身份认证、限流、验证码、Bot 管理和应用代码安全。若攻击集中在七层，应结合代理防护、WAF、CDN、应用限流和业务风控设计纵深防御。
业务能承受怎样的切换
代理接入通常涉及 DNS 变更。需要提前降低合适的 TTL、验证域名和证书、限制源站仅接受清洗节点回源，并准备回滚步骤。非网站 TCP/UDP 业务还要检查端口、会话保持、长连接和客户端兼容性。
网站接入 Anti-DDoS Proxy 的稳妥流程
1. 梳理域名、协议和源站
列出需要保护的精确域名及子域名，不要误以为配置主域名会自动覆盖所有子域名。记录每个域名使用的 HTTP/HTTPS 协议、实际端口、源站地址和证书。确认源站能正确响应 Host 请求。
2. 创建防护配置
在控制台选择适合目标地域和业务类型的实例及功能计划，添加网站配置，填写域名、协议、端口和源站。所有选项以控制台当时提供的能力为准，不照抄旧文章中的版本名称、规格或价格。
3. 在修改 DNS 前进行验证
先使用官方建议的方法进行本地解析或测试域名验证，检查首页、登录、API、上传下载、WebSocket 和回调等关键链路。HTTPS 业务还应检查证书链、SNI 和续期方式。
4. 限制源站访问
如果源站仍允许任意公网来源直接访问，攻击者可能绕过高防。应根据官方回源地址范围和实际架构调整安全组、访问控制或防火墙，同时保留必要的运维与健康检查路径。变更前保存当前规则，避免误封。
5. 灰度切换 DNS
先选择低风险域名或少量业务灰度，观察清洗、回源、错误率和时延，再逐步扩大范围。DNS 存在缓存，切换与回滚不会对所有用户瞬时生效，因此要预留传播时间。
监控和应急不能省略
防护上线后，应持续关注攻击峰值、攻击类型、清洗状态、黑洞事件、回源带宽、源站 CPU、连接数和应用错误率。告警接收人不能只有一位，通知渠道也不应依赖单点。
建立简明应急手册，至少包含：负责人、控制台权限、域名与源站清单、切换和回滚步骤、日志位置、上游联系流程以及事后复盘模板。攻击发生时不要临时共享主账号密码，也不要在未经授权的情况下发起“反制”或攻击测试。
常见错误与纠正
- 错误：认为“无上限”意味着任何情况下都保证业务可用。纠正：阅读产品版本、会话、阈值和服务条款，以实际合同和控制台为准。
- 错误：只买 DDoS 产品，不保护源站。纠正：隐藏源站并设置回源访问控制。
- 错误：把 WAF 与 DDoS 防护视为同一产品。纠正：按网络层、传输层和应用层建立组合策略。
- 错误：直接修改生产 DNS。纠正：先验证配置，再灰度切换并准备回滚。
- 错误：把历史价格和规格写进长期文档。纠正：引导读者查看实时购买页和官方计费说明。
云管家的发布建议
云管家当前可提供阿里云国际与腾讯云国际相关服务信息。DDoS 方案应以风险评估和官方能力为基础，而不是承诺绝对安全。任何防护都不能替代系统加固、备份、最小权限、漏洞管理和应用层限流。产品版本、地域覆盖、库存及费用可能变化，请在实施前复核官方文档和控制台。