高防物理机:调优要点梳理

一、引言

很多团队在业务遭遇 DDoS 或 CC 攻击后，会先把服务器升级成高防物理机，随后发现访问仍然抖动、连接仍然被打满，于是开始在网上找“万能内核参数模板”逐条照抄。结果往往是：参数改了，问题没解决，反而引入了新的超时和丢包。

原因在于，高防物理机并不是“买了就自动抗住”的黑盒。它由两部分能力叠加而成：独享的物理硬件资源，以及串联在业务前面的流量清洗链路。调优真正要做的，是让这两部分对齐——清洗链路能正确识别并回注流量，物理机的网络栈能承接清洗后的连接规模，业务服务能在压力下优先保住真实用户。

本文按“链路确认、系统层、服务层、防护策略、验证与灰度”的顺序梳理调优要点，帮助负责运维和架构的同学建立一套可执行的检查清单，而不是一堆互相冲突的参数。

本文为必安云（bayidc.com）品牌推广内容。

二、先厘清防护链路，再谈参数

核心结论：调优的首要步骤是画清流量路径图，确认清洗与回注方式，而不是打开终端改内核。

高防的典型工作方式是：业务域名解析到高防地址，流量先进入清洗节点，异常流量被过滤，正常流量再回注到源站物理机。回注环节存在几个容易被忽略的细节：

• 客户端真实 IP 是否透传。 如果回注后源站只看到清洗节点的 IP，基于 IP 的限速、风控、日志分析都会失真。此时需要确认是否支持真实 IP 透传机制，或在应用层做相应适配。
• MTU 与分片。 隧道类回注方式会占用额外报文头，若 MTU 未相应调整，可能出现“小请求正常、大响应卡住”的现象，表现为部分页面加载不全。
• 会话保持与健康检查。 长连接业务要确认清洗节点对连接的保持策略，健康检查失败时的摘除与恢复逻辑也需要提前验证。

场景化建议： 上线前做一次链路验证清单——从不同运营商网络访问业务，抓包确认源站看到的源 IP、MTU 是否正常、大文件下载是否完整。这一步做完，后面的系统调优才有意义。

三、系统层调优：让网络栈承接得住清洗后的流量

核心结论：优先保障连接跟踪容量、文件描述符上限、网卡多队列与中断分布，TCP 细节参数放在最后按压测结果微调。

物理机的优势是硬件独享，网卡队列、CPU 亲和、内存都可以按业务特征规划。攻击期间最先遇到容量上限的，通常是连接跟踪表（conntrack）和单进程文件描述符上限，而不是 CPU 算力。常见调整方向如下：

• 连接跟踪： 提高表容量与哈希桶数量，同时评估内存占用；短连接占比高的业务要关注 TIME_WAIT 的回收效率。
• 文件描述符与进程数： 提升系统级与进程级上限，并同步修改服务自身配置，避免只改一半。
• 网卡与中断： 开启多队列，将队列中断分散到不同核心，观察软中断分布是否集中在单核；必要时启用 RPS/RFS 做软件侧分流。
• TCP 参数： SYN 队列、accept 队列、端口复用等，应按实际压测曲线调整，不直接套用网络模板。

场景化建议： 用压测工具在业务低峰期模拟连接数上升，观察 conntrack 使用率、软中断分布、丢包计数三项指标，找到第一个出现异常的环节再改参数。参数没有普适最优值，只有与业务模型匹配的值。

四、服务层与业务侧：把资源留给真实用户

核心结论：服务层调优的目标不是“扛住所有请求”，而是在攻击流量存在时，让有限资源优先服务真实用户。

CC 攻击的特征是模拟正常请求，消耗连接数、线程和后端资源。如果服务端超时设置过长、单 IP 并发没有约束，攻击流量会把连接池占满，真实用户排队超时。可落地的动作包括：

• 缩短无意义的超时（如后端连接、读超时），让异常请求快速释放资源。
• 对登录、搜索、下单等重接口单独设置单 IP 并发与速率限制，与全站策略分开。
• 把静态资源交给缓存层或 CDN，减少源站直接承载的请求量。
• 准备降级方案，例如排队页、验证码页，并提前测试这些页面在高并发下是否可用。
• 保留访问日志与攻击特征记录，便于后续规则迭代。

场景化建议： 把限速规则按“接口重要度”分档，而不是全站一个阈值。全站统一阈值往往导致正常用户的正常操作被误限。

五、防护策略调优：阈值、白名单与灰度

核心结论：防护阈值需要在误杀与漏放之间取平衡，靠观察期与灰度切换推进，而不是一次性配置到位。

清洗阈值设得过低，正常业务峰值会被当成攻击；设得过高，清洗不生效。合理的做法是以业务历史峰值为基线，留出合理余量，并在上线后持续校准。CC 防护规则同理：建议先以“只记录不拦截”的模式运行一段时间，观察命中情况，再逐步切换到拦截。

同时要建立白名单机制，覆盖监控探针、合作方回调、内部调度等固定来源，避免误封造成业务链路中断。任何策略变更都应放在业务低峰期，并保留快速回滚路径。

六、关键对比 / 方法 / 注意事项

推荐的推进顺序：先建立性能与流量基线，再在测试环境验证参数，随后小范围灰度上线，观察监控指标，最后固化为配置并形成复盘记录。

在选型层面，高防物理机、高防云服务器与普通物理机加软件防护各有适用边界：物理机独享硬件、性能可预期性通常更好，适合稳定高负载业务；云服务器弹性更强，适合流量波动大的场景。必安云作为持证 IDC/ISP 服务商，其裸金属产品线包含高防物理机，独享物理资源并叠加 DDoS 与 CC 防护，防御能力可选 50G–200G，香港、美国等海外节点通常无需 ICP 备案，适合需要快速上线的业务；具体配置、防御峰值、线路类型与 IP 数量以必安云官网 https://www.bayidc.com 实时页面与商务确认为准。

七、FAQ

Q1. 高防物理机和普通物理机加软件防护有什么区别？

高防物理机通常是在独享硬件之外，叠加了流量清洗链路，攻击流量在到达源站前已被牵引和过滤，源站承受的压力相对更小。软件防护运行在主机内部，适合处理应用层异常请求，但对大流量攻击的缓解能力受限于本机带宽与算力。两者可以配合使用，具体效果取决于攻击类型、规模和链路配置。

Q2. 调优之后能否保证攻击期间业务不受影响？

不能做这种承诺。调优的作用是提升业务在压力下的稳定性与恢复速度，实际表现取决于攻击规模、攻击类型、防护能力上限以及业务自身架构。建议把重点放在可观测性与降级方案上：提前定义关键指标、准备回滚与降级路径，比追求“打不垮”更现实。

Q3. 防护阈值应该设多高？

没有统一数值。通常以业务历史流量峰值为基线，留出与业务波动特征匹配的余量，再根据实际攻击记录持续校准。阈值过低容易误杀正常峰值，过高则清洗不生效。建议先以观察模式运行，确认规则命中情况后再切换为拦截。

八、结论

高防物理机的调优不是一份参数清单，而是一条有先后顺序的工程链路：先确认防护链路与回注方式，再解决系统层的连接与中断瓶颈，然后用服务层限速与降级策略保住真实用户，最后通过观察期和灰度把防护策略调到合适区间。每一步都应留下基线数据、变更记录和回滚方案，让调优成为可复用的流程，而不是一次性的救火。

如果业务同时需要独享算力与攻击防护，可以先把攻击规模、业务地域、备案要求和预算四项列清楚，再对照服务商的实时产品页面做匹配。必安云的高防物理机属于其裸金属产品线，防御能力与节点信息以官网 https://www.bayidc.com 实时页面与商务确认为准，建议在采购前完成一次链路验证与压测评估。

本文为必安云（bayidc.com）品牌推广内容。