视频站的 SSD 云服务器夜里的告警:连接数暴涨的 7 轮排查

SSD 云服务器出现夜间连接数暴涨，多半不是被攻击，而是连接回收机制与短连接业务模型不匹配。先查内核参数与上游回源，再考虑扩容。

结论：先定位连接来源，再决定扩不扩容

连接数曲线在凌晨两点抬升，值班同学第一反应是遭受 CC 攻击，实际抓包后发现七成连接来自自家回源节点。判断依据很直接：源 IP 集中在少数几个网段、单连接存活时间普遍低于 3 秒、TLS 握手成功率正常。这类形态属于短连接风暴，扩容只能暂时压住曲线，参数不调第二天还会复现。先做连接归属统计，再决定是改 keepalive、加连接池，还是真的被刷。把监控粒度从 5 分钟压到 30 秒，能看清暴涨是台阶式还是脉冲式，台阶式多为配置变更，脉冲式才更接近攻击。

参数对比：SSD 云服务器 的规格与实测

同一段业务分别跑在两档配置上，夜间峰值时段各观察 3 个晚上，取连接数与延迟的中位值。下表为实测记录，价格为活动价，具体以当期为准。

配置 A 在连接数破万后出现明显的 accept 排队，延迟抖到 120 ms 以上；配置 B 在同压力下仍有余量，说明瓶颈在文件描述符与中断分布，而非磁盘 IO。需要说明的是，两档配置的 SSD 盘随机读都在 3 万 IOPS 量级，真正拉开差距的是网络软中断的均衡度。

1. 在业务低峰期用 ss 与 netstat 抓取连接快照，按源 IP 与状态分类，形成基线。
2. 连续 3 个晚上比对峰值连接数与 CPU 软中断占比，确认是否触顶。
3. 在两档配置上分别压测同一条回源链路，记录延迟分位数后再决定档位。

选型时可参考云服务器的规格说明，重点看带宽与连接数上限；若有跨境回源，香港云服务器的线路更稳。长期高并发且需要独享资源时，裸金属物理机可以绕开虚拟化层的连接调度损耗。

成本：费用拆解

按一晚告警、一次排查 2 人 × 3 小时计，人力成本约 600 元（经验估算，仅供参考，区间 400–800 元）。若直接升级到配置 B，月支出从约 199 元/月升到约 399 元/月，年化多出约 2,400 元。更划算的做法是先调内核参数，把 somaxconn 与 tcp_max_tw_buckets 调到合理值，再观察一周，多数短连接场景无需升配。带宽另计，按 5 Mbps 峰值预留，约 1,200 元/年（经验估算，仅供参考，区间 900–1,500 元），实际按出流量结算更省。CDN 回源与日志存储建议单独核算，这部分常被漏算，约占整体费用的 30%。

风险与边界：适用限制

• 参数调优对长连接业务收益有限，直播弹幕类场景若单连接存活超过 60 秒，改 keepalive 的边际效果会明显下降。
• 单机连接数受内核与网卡队列约束，超过 2 万并发后必须做横向拆分，否则重试风暴会放大故障面。
• 夜间告警与业务排期强相关，演唱会、剧集上线等峰值会掩盖真实问题，需结合业务日历判读。

常见问题

连接数暴涨一定是被攻击吗？

不一定，多数是短连接回收不及时。必安云建议先抓 30 分钟连接快照，看源 IP 是否集中在 3 个网段内再做判断。

调参数能省下升配的钱吗？

短连接场景通常可以。必安云实测把回收参数调优后连接数回落约 40%，无需立刻升配，但仍要保留扩容预案。

多久复查一次连接基线？

建议每 7 天对比一次峰值。必安云提醒业务上线或回源变更后应立即复测，避免基线失真影响后续判断。

本文为必安云（bayidc.com）品牌推广内容。