计算与防护一起规划
将实例负载、正常流量和攻击风险综合评估，避免只关注防御额度而忽略业务自身的计算与带宽需求。
钛金云（高防云）资源架构
- 01接入层用户连接 · 业务流量
- 02防护层DDoS 检测 · 流量清洗
- 03计算层云实例 · 业务应用
适合需要云上部署，同时对网络攻击风险有明确防护需求的业务。
PRODUCT OVERVIEW
什么是钛金云（高防云）？
- 云端计算
- DDoS 防护
- 业务连续性
钛金云以高防云为产品方向，将云端计算和网络攻击防护纳入同一套业务方案。选型时同时评估正常业务流量与攻击风险，匹配计算资源、网络带宽和防护策略。
选型核心
钛金云面向需要同时规划云端计算与网络防护的业务。选型重点是让正常用户在异常流量下仍能完成关键操作：入口承接、清洗转发、源站容量和应用策略必须一起评估，单看一个防御峰值无法说明完整的业务承载能力。
面向网络攻击建立防线
结合高防网络的检测与清洗能力处理 DDoS 流量。防护范围、触发条件和超限策略以实际方案为准。
按业务协议评估接入
区分网站、游戏和接口服务所用的端口与协议，在接入前核对支持范围，兼顾正常连接与防护需求。
架构解析
INSIDE THE ARCHITECTURE
从异常检测到业务恢复，逐段理解高防链路
把高防云拆成入口、检测清洗、可信回源和业务处理四个环节，有助于定位故障究竟发生在哪里。
- 01
业务入口
确认接入地址、协议与端口范围，区分正常业务峰值和异常流量基线。
- 02
检测清洗
结合流量速率、包速率与行为特征识别异常，按约定机制触发过滤或流量牵引。
- 03
可信回源
清洗后的请求经过回源链路送达业务实例，并接受源站访问控制和身份校验。
- 04
应用处理与恢复
由业务实例处理请求；切换或异常后验证连接、接口与数据依赖，复核关键操作成功率。
先区分带宽、包速率与连接指标
正常带宽描述合法业务传输需求，攻击流量的 Gbps 描述每秒比特量，两者用途不同。PPS 衡量包处理压力，CPS 衡量每秒新建连接，QPS 衡量每秒请求。同样的带宽可能伴随不同包速率与连接压力，长连接还要单独看并发连接数。容量评估应注明测量位置、时间窗口和统计方向。
清洗触发与黑洞恢复是两件事
清洗旨在过滤异常并继续传递合法流量；黑洞则可能让目标地址的全部流量暂时不可达。接入前应确认检测条件、清洗触发方式、牵引期间的连接影响，以及超出防护边界后的处理机制。恢复计划需覆盖攻击减弱判定、解除条件和业务复测，不能把告警消失当作恢复完成。
把源站纳入防护范围
代理式防护需要检查入口到源站的完整路径，包括回源带宽、路由、证书和可信来源范围。源站应仅开放必需业务入口，并核对历史解析、测试域名和管理地址是否暴露。回源白名单解决合法转发的可达性，访问限制与认证共同降低绕过入口的风险，规则变更后必须验证正常业务。
以上为通用防护架构与选型方法，资料来源用于说明技术概念，并非 WAF.PRO 的能力承诺；钛金云的接入模式、协议范围、防护规格和恢复条款应以实际方案为准。
性能选型
PERFORMANCE & CAPACITY
读懂指标，才知道资源该加在哪里
评估应同时看到网络入口与应用结果。使用正常业务样本建立基线，再在获准的测试窗口验证容量和故障恢复。
| 关注项 | 对业务的影响 | 如何评估 |
|---|---|---|
| 正常业务带宽 | 下载、上传和回源峰值决定日常体验。 | 按方向记录业务峰值，确认清洗后转发的容量口径。 |
| 攻击流量 Gbps | 反映带宽压力，不能换算为业务吞吐承诺。 | 确认保护对象、持续条件和超限处理范围。 |
| 包速率 PPS | 小包密集时，包处理可能先于带宽达到瓶颈。 | 同时观察包速率、丢包与网络设备压力。 |
| CPS 与并发连接 | 新建连接和存量连接分别消耗处理与状态资源。 | 记录握手成功率、活跃连接、重连次数和超时。 |
| QPS 与接口耗时 | 相同请求数也可能产生不同计算和数据库负载。 | 区分接口类型，核对尾延迟、错误率与业务成功率。 |
指标与术语说明
- Gbps 与 PPS
- Gbps 表示每秒十亿比特的数据速率；PPS 表示每秒数据包数量，反映不同处理压力。
- CPS 与并发连接
- CPS 是每秒新建连接数；并发连接是同一时刻仍然活跃的连接数量，两者不能互换。
- QPS
- 每秒请求数，需要结合接口复杂度、身份校验和后端资源消耗理解。
- 黑洞处理
- 在特定条件下丢弃目标地址的流量，可能同时使正常访问不可达；解除与恢复条件需明确。
BEFORE YOU CHOOSE
整理需求，再确定配置
带上这四类信息，让选型讨论更具体。
- 业务资源
- CPU、内存、磁盘、正常业务带宽及访问高峰。
- 防护额度
- 基础与弹性防御、计费方式、超限处理和黑洞恢复策略。
- 接入与协议
- 所需 TCP / UDP 协议、端口范围、连接保持与访问控制。
- 应用层防护
- CC、WAF 和 WebSocket 等需求是否支持，以及是否需要额外产品。
APPLICATION SCENARIOS
这些业务，可以从这里开始
游戏与互动服务
针对持续连接、登录和业务通信需求，评估端口协议与网络攻击防护方案。
面向公网的网站
为遭遇网络层攻击的网站规划承载资源，应用层防护可另行评估 SCDN 与 WAF。
在线平台与接口
针对活动高峰和攻击风险，同时规划正常业务承载、访问策略与防护容量。
部署实践
DEPLOYMENT PLAYBOOK
以关键交易为单位安排接入
先明确必须保持可用的操作，再决定入口、应用和数据层各自承担什么责任。
- 01
梳理依赖
列出域名、端口、证书、回调来源和数据依赖，选取登录、查询或提交等验收操作。
- 02
验证兼容
确认 TCP、UDP、长连接与 WebSocket 的支持范围、超时、会话保持及真实客户端地址传递方式。
- 03
分批接入
先迁移低风险入口，核对解析、回源访问控制和日志，再扩大业务范围并保留回退步骤。
- 04
演练恢复
验证连接重建、客户端退避重试和积压处理，在恢复阶段持续检查关键接口与数据一致性。
这套部署思路的取舍
持续经清洗链路与按需牵引有不同路径和切换成本；应结合业务对延迟、连接连续性和恢复时间的要求确认接入方式。
运维重点
OPERATE WITH CONFIDENCE
从上线，到持续稳定运行
让告警反映用户影响
将网络流量、连接失败、接口错误和订单等业务指标放在同一时间线上。值班人员需要知道受影响的入口、业务范围和开始时间，优先判断是否仍能完成关键操作，再处理清洗策略或容量问题。
应用层防护需要理解业务
DDoS 也包含应用层资源耗尽。CC 通常描述面向页面或接口的请求滥用，WAF 侧重 HTTP 请求检查与规则控制。对登录、搜索等高成本接口，应结合身份、速率和资源预算制定策略，避免只按带宽判断风险。
给正常流量留下通道
活动流量、合作方回调和共享出口用户可能呈现高请求密度。策略上线前应验证代表性客户端，记录误拦样本与规则版本；必要的放行应限定对象和范围，避免宽泛白名单削弱其他入口的保护。
恢复后继续观察源站
网络恢复时，客户端重连和延迟任务可能同时到达。应观察连接池、队列、数据库与缓存的恢复状态，按业务优先级消化积压，并复盘防护触发、业务中断和恢复三个时间点之间的差异。
适用取舍
CHOICES & TRADE-OFFS
把产品优势，放到真实条件下比较
当您的业务是
内容下载或资源分发较多
先核对合法流量容量及缓存策略。
攻击防护额度不能替代日常下载所需带宽。
当您的业务是
接口密集、单次计算成本高
同时规划请求治理和后端资源隔离。
网络流量不大时，应用也可能先被耗尽。
当您的业务是
游戏、消息推送或持续会话
把协议兼容与重连行为列为验收重点。
页面可访问不足以证明长连接业务运行正常。
三个容易忽略的判断
防御 Gbps 越高，网站就越快
访问速度还取决于合法带宽、回源路径、计算资源与应用处理。
接入高防就不需要 WAF
网络清洗、应用层请求治理与漏洞防护承担不同职责，应按业务组合。
清洗量增加就代表业务受损
应同时核对合法用户成功率，过滤记录本身不能说明业务已经中断。
QUESTIONS & ANSWERS
选型前，您可能还想了解
钛金云与普通云服务器如何选择？+
普通云服务器侧重日常计算承载；钛金云同时关注网络攻击防护。若业务有明确 DDoS 风险，应结合攻击历史、带宽峰值和业务协议评估高防方案。
高防云自动包含 WAF 和 CC 防护吗？+
DDoS 可涉及网络层和应用层，CC 通常属于应用层攻击，WAF 面向 Web 请求与应用安全。仅凭“高防”名称不能判断是否包含完整的 CC 与 WAF 能力。请确认具体方案；本站 SCDN 各线路标准版及以上包含 WAF，可另行评估接入。
超过防御额度会怎样？+
不同方案可能涉及弹性防御、额外计费、限流或黑洞处理。购买前请确认触发规则、通知方式、恢复条件和费用，结合业务需求制定应对方案。
已经隐藏源站地址，还需要限制访问吗？+
需要。地址可能从历史记录或其他服务暴露，应建立可信回源访问范围，并保护管理入口。
怎样判断问题出在高防还是应用？+
对照入口、回源和应用三段时间线；连接失败、源站超时与应用报错应分别定位。
业务带宽很小，是否可以忽略连接指标？+
不可以。频繁建连和大量持续连接会形成不同资源压力，应分别评估 CPS、并发连接和超时。
YOUR NEXT STEP
一起确定您的钛金云（高防云）方案
提供业务类型、访问地区、峰值负载、数据规模与恢复目标，和技术顾问一起评估配置、网络及交付方案。