阿里云建立的网站被 DDoS 打了怎么办？

本文由云服务器代理商：翼龙云yilongcloud撰写

立刻应急止损（网站打不开 / 服务器被黑洞）
1、先确认攻击 & 黑洞状态
登录阿里云控制台→流量安全（DDoS 防护）→资产中心，查看 ECS 公网 IP 状态：
显示「清洗中」：轻度攻击，基础防护自动拦截，不用停机；
显示「黑洞中」：攻击超免费防护阈值，IP 全网封禁，外部完全无法访问，黑洞默认 30 分钟～2.5 小时，无法手动提前解封。
手机 4G / 外网 ping 网站 IP，全部超时 = 确认黑洞。
2、黑洞 2 套应急方案（二选一）
方案 A：临时换弹性公网 IP（短期救站）
ECS 控制台→弹性公网 IP，解绑被黑洞的旧公网 IP；
新购 EIP 绑定服务器；
域名 DNS 解析改成新 IP，TTL 改成 10 分钟加速生效；
⚠️ 缺点：真实源站 IP 暴露，攻击者会再次打新 IP，只能临时过渡。
方案 B：立刻接入 DDoS 高防（国际站推荐，根治黑洞）
顶部切换非中国内地（阿里云国际站专属），购买 DDoS 高防实例；
控制台「接入管理 - 添加网站」，填入你的域名、ECS 源站 IP、80/443 端口；
复制高防分配的 CNAME 地址，去域名 DNS 后台，把域名解析改为 CNAME；
关键一步：ECS 安全组只放行高防回源 IP 段，彻底屏蔽外部直连源站，隐藏真实服务器 IP

轻度攻击未黑洞：免费基础防护优化（立刻操作）
适合小流量 CC、小规模 UDP 攻击，不用付费产品
收紧 ECS 安全组（最关键）
仅开放网站必需端口：80、443，关闭所有 UDP、ICMP、3389、22 等无用端口；限制仅高防 / CDN 回源 IP 访问源站，拒绝全网公网直连。
开启基础防护智能清洗
DDoS 防护控制台→防护策略，打开HTTP DDoS 智能防护，防护等级调至「严格」，自动拦截高频恶意请求、CC 刷访问。
Nginx/WordPress 简易限流（防 CC）
后端配置单 IP 每秒请求上限（20 次以内），拦截批量爬虫、攻击请求，减轻服务器 CPU 负载。
接入阿里云国际 CDN 分流
域名接入全球 CDN，静态图片、JS、缓存页面走边缘节点，减少回源请求，天然削弱攻击流量。