DDoS流量清洗上线后——带宽账单反而降了

带宽账单降了，而且是被攻击的那几天降的——这大概是运维生涯里最反直觉的一次对账。ddos流量清洗上线之前，我一直把它当纯成本项：设备要钱、服务要钱、清洗带宽还要钱，钱只往外流，看不到回头钱。直到把连续几个月的带宽账单和出口流量曲线摆在一张纸上对着看，才发现账单上最贵的那一截，压根不是正常访客贡献的。

ddos流量清洗为什么能把带宽账单拉下来

先说个容易被忽略的常识：攻击流量是占带宽的，而且占得理直气壮。机房的出口就是一根管子，正常访客用掉三成，剩下七成被一堆伪造源的UDP包、SYN包灌满，管子一样是满的。带宽按管子收费，不管里面装的是订单还是垃圾。清洗做的事很简单，把这些包在进入你的计费口之前扔掉，同样访客量下的峰值就下来了。

注意这里的顺序：不是先省钱才有防护，是防护做对了，带宽的计费基数才跟着变。很多人把因果搞反，以为买了高防就该便宜，结果接了ddos流量清洗账单纹丝不动，回头骂服务商。多数时候问题出在流量路径没改，钱花了，包还是从老线路进来的。

清洗点在你上游，不在你机器上

我见过最常见的误解，是把机器上的iptables限速、nginx的limit_conn当成清洗。这些手段当然有用，但作用位置太靠后了——包已经跑完运营商的长途、已经占过你的出口带宽、已经在你网卡上排队，你这时候丢，丢的是自己的CPU，不关账单的事。真正意义上的清洗发生在你上游：解析指到高防IP、BGP牵引把流量拉到清洗中心、或者机房侧做近源丢弃。位置差一层，效果可能差出一个量级。

判断自己接没接对位置，有个笨办法：攻击时在服务器上tcpdump抓几秒，看看进来的包是不是还是那些熟悉的伪造源、超大包。抓得到，说明过滤没落到前面，你只是在自家门口扫地。

账单上最贵的那一截，往往是尖不是平均

带宽计费的花样不少，按月峰值、按95计费、保底加突发都有，各家条款不一样，具体以服务商或官方页面说明为准。不管哪种，共同点都是盯着峰值看。攻击流量的形状就是一根尖刺：平时平稳，被打的那几个小时直接顶到天花板。按95计费的算法是把采样点排序掐掉最高的那一小撮，听着挺宽容，可攻击持续时间一旦超过那个比例就掐不掉，整月的计费基数被钉在高位。

清洗把尖削平之后，峰值采样点回到正常水位，计费基数自然往下走。这也是为什么有人发现被打反而便宜了——不是打得好，是那根尖以前一直算在账上，现在不算了。

三种“上线了但账单没动”的情况

第一种是阈值设得太高。买的保底清洗，攻击量没到触发线，清洗没启动，保底费照付，带宽照旧被打满。第二种是攻击流量本身不大，真正吃掉带宽的是自己的图片、视频、下载包，这种情况清洗帮不上忙，该做的是压缩、切分、上CDN。第三种更隐蔽，黑洞策略：一被打就封IP，账单立刻好看，业务也跟着一起没了——这种省钱法，省的是明年的预算。

误杀、回源、日志，这几笔账也得一起算

清洗会误杀，这个别装作不会发生。规则调得紧，正常用户被当成机器人拦在外面，客服那边的工单就起来了。回源带宽也要看：清洗中心把干净流量回给你，回源那一段一样计费，选清洗节点的时候离源站近一点、回源走内网，能省一笔。日志更要留，命中记录、丢弃明细是你下次调规则的唯一依据，全关了图省事，出事只能拍脑袋。

怎么验证省下来的钱是真省

别只看单月账单，那东西受业务淡旺季影响太大。至少拉连续三个月，把每个月的峰值带宽时刻标出来，对着访问日志看一眼那几分钟到底是谁在跑。再看清洗侧的命中曲线，两边能对上，说明降的是攻击那部分，不是你把业务一起降了。对不上，那降的可能只是季节。

要给建议的话就一句：先翻出上个月的带宽账单，找到峰值那一刻，看看那几分钟是谁在占用你的管子，再决定要不要上清洗。顺序反了，很容易变成账单没降、发票多了一张。