上个月一个周五的晚上十点半，我一个做资源下载站的朋友给我发微信：「我网站炸了，你自己看看。」
我打开一看，果然，加载转圈转到天荒地老。他说十分钟前收到一条阿里云短信，大意是：您的服务器遭遇 DDoS 攻击，流量超出免费防护阈值，IP 已进入黑洞。
我俩对着屏幕面面相觑。他那个站一天撑死几千个 PV，靠挂点广告一个月挣的钱够吃两顿海底捞，就这样也被人惦记上了。更讽刺的是，攻击者后来还发邮件过来：想解封？充值。好家伙，勒索都卷到个人站长了。
那一晚我们聊到凌晨，把「个人站长要不要买高防」这件事从 motivation 到账本彻底捋了一遍。今天把这笔账摊开写出来，你要是也纠结这个问题，看完基本就不用纠结了。
先搞清楚：你被打之后到底发生了什么
很多新站长对「被打」没概念，以为就是网站卡一下。真实情况分两层：
第一层：免费基础防护。 阿里云 ECS 默认带基础 DDoS 防护，日常的小毛贼攻击——端口扫描、零星 SYN Flood 之类——它默默帮你挡了，你甚至感知不到。这也是大多数人「从来没被打挂过」的原因：不是没人打你，是有人替你挡了。
第二层：黑洞。 当攻击流量超过免费防护的兜底阈值（一般就是几个 G 的量级），阿里云不会让你的机器继续硬扛，而是把你的公网 IP 整体「静默」——运营商侧把你这个 IP 当瘟疫处理，所有进出流量全部丢弃，也就是「黑洞」。持续时间从半小时到几小时不等，反复被打还会越关越久。
注意一个反直觉的点：进黑洞不是阿里云见死不救，而是保护你的账单。要是无限兜底，攻击流量全算你服务器进流量，一晚上被刷掉的带宽费够你心疼一年。
所以问题从来不是「我扛不扛得住」，而是「黑洞的那几个小时，你的站值多少钱」。
算账：先回答「你的站一小时值多少钱」
要不要花钱买防护，本质是一道期望值计算题。拿张纸，问自己三个问题：
1. 停机一小时的直接损失是多少？
- 广告站：日广告收入 ÷ 24，比如一天 50 块，那停一小时约 2 块。
- 带转化业务的（接单、卖课、卖软件授权）：客单价 × 该时段预估成单数，这个数字往往比想象中高。
- 纯兴趣站：直接损失为零，但间接损失是「搜索引擎开始觉得你站不稳定，收录权重往下掉」，这个亏是慢性的。
2. 被打的频率有多高？
被肉鸡无差别扫射和被同行/勒索团伙盯上，是两个世界。前者可能一年一次，后者能给你表演一周三连。判断方法很简单：看监控里黑洞告警的频率。
3. 攻击规模到什么量级？
控制台里能看到攻击峰值。几 G 的攻击和几百 G 的攻击，对应的产品档次完全不同，价格也差着一个数量级。
把这三个数乘起来，再对比下面三档产品的价格，答案自己会浮出来。
三档方案，对号入座
第一档：什么都不买（适合：日收入几十块、被扫射型攻击的个人站）
基础防护免费，黑洞了就等它自己放出来。配合两个零成本操作把损失压到最小：
- 被打后第一件事：换 IP。ECS 换公网 IP 的成本远低于干等黑洞释放。攻击流量是打给旧 IP 的，你换了，攻击就落空了——虽然专业的攻击者会重新找，但对扫射型攻击非常管用。
- 域名解析 TTL 调短，比如 300 秒。这样换 IP 之后，全球访客能尽快切到新地址，不用干等老 DNS 缓存过期。
第二档：DDoS 原生防护（适合：有稳定收入、攻击量中等、不想改架构的站）
这是最容易被个人站长忽略的中间档。它的核心卖点就一个字：透明——不改你的服务器 IP，不加延迟，一键把防护能力怼到你现有 ECS 上，攻击流量在网络层就被清洗掉了，业务架构一行代码不用动。
规格上有包年包月和按量计费两种，还有面向中小企业的普惠版，专门解决「预算有限但天天提心吊胆」这类人群。具体价格我在这儿不背数字（这东西调整得比我换壁纸还勤），以官方 DDoS 防护页面实时展示为准——点进去对照你的攻击峰值选规格，比我拍脑袋准。
第三档：DDoS 高防（适合：攻击量数百 G、或者业务真金白银经不起停的站）
高防的思路完全不同：通过 DNS 解析或反向代理把流量先引到阿里云的清洗网络，洗干净了再回源。全球超过 20 个清洗中心、防护网络总带宽超过 20Tbps，顺手把你的真实源站 IP 也藏起来了——攻击者连你家门牌号都摸不到，只能对着清洗节点输出。
代价就是贵，保底防护 + 弹性防护的计费模式，月费是万元级起步的。个人站长看到这个数字先别慌：这个档位压根不是设计给你一个人扛的，它面向的是游戏公司、金融业务、电商大促这类「停一小时亏一台车」的场景。我的朋友那种两顿海底捞收入的站买它，属于开兰博基尼去买菜——车是好车，账不是这么算的。
我的结论：一张自查清单
写到这儿，把结论压缩成四条：
- 九成个人站长：不用买。免费基础防护 + 出事换 IP + 短 TTL，这套零成本组合拳覆盖绝大多数扫射型攻击。
- 有稳定收入、被打频率上升：上原生防护。透明接入、按量计费能兜住，不必一步到高防。
- 被勒索了：先截图留证据，走工单反馈，别私下转账。转账只会让攻击者把你标记为「可反复收割的优质客户」——勒索这事的复购率比任何会员体系都高。
- 任何档位购买前，先去控制台看自己的攻击峰值和黑洞频率，拿数据对号入座，别听人忽悠。
对了，最后一个省钱彩蛋：如果你的站以静态内容为主，前面套一层 CDN 也能天然吸收掉相当一部分流量型攻击，而且 CDN 流量费比高防便宜得多——毕竟攻击者的流量也是在帮你刷 CDN 缓存，这一波属于让攻击者替你付账单。
愿你的 IP 永远不进黑洞，进过的话，欢迎来评论区讲讲你当时的账本。
