DDoS（Distributed Denial of Service，分布式拒绝服务）攻击的原理是通过大量僵尸节点同时向目标服务器发送请求，将服务器的网络带宽或处理能力耗尽，导致正常用户无法访问。对于跨境电商独立站、游戏服务器、SaaS 平台和出海业务，DDoS 攻击是最常见也最难预防的安全威胁之一。
阿里云 DDoS 高防（Anti-DDoS）通过将业务流量引导到全球分布的高防清洗中心，过滤掉攻击流量，只将正常的业务流量转发回源站服务器。整个过程对业务透明，不需要修改应用代码，只需要将域名或 IP 指向高防实例。
两种产品：高防中国内地 vs 高防非中国内地
阿里云 DDoS 高防分为两条产品线，按照防护的业务节点区分，而不是按照公司所在地区区分。
DDoS 高防（中国内地） 用于防护部署在中国大陆节点的业务，提供电信、联通、移动三大运营商的高防线路接入，适合面向大陆用户的网站、APP 后端和游戏服务器。
DDoS 高防（非中国内地） 用于防护部署在中国大陆以外节点的业务，覆盖香港、新加坡、日本、美国、欧洲等区域，对应阿里云国际版的海外节点。出海业务、独立站、跨境电商、面向东南亚或全球用户的服务，选择这条产品线。
两条产品线的防护原理相同，但高防线路资源、接入点分布和计费规则有所不同。本文重点介绍非中国内地产品线，即面向出海业务最常用的 Anti-DDoS Premium。
Anti-DDoS Premium：四种方案的选型判断
非中国内地 DDoS 高防提供四种不同定位的防护方案，按照业务需求选择不同方案：
保险防护（Insurance） 提供基础的大流量 DDoS 防护，保底防护带宽最高可配置到 5000 Mbps，适合流量攻击风险中等、对成本敏感的业务。保险防护的特点是只在攻击流量超出保底带宽时才额外计费，平时只需要支付固定实例费，成本相对可控。
无限防护（Unlimited） 提供无上限的防护能力，当攻击流量超出购买的保底带宽时，额外的攻击流量全部由阿里云承担，不产生弹性防护费用。适合攻击频率高、攻击规模难以预估的业务，例如电竞类游戏、高知名度的出海应用。无限防护的实例费高于保险防护，但在频繁大规模攻击的场景下，总持有成本反而可能低于保险防护叠加弹性防护费用的方案。
安全加速线路 2.0 在 DDoS 防护基础上叠加了访问加速能力，最大业务带宽 1500 Mbps，适合对访问速度和 DDoS 防护都有要求的内容分发业务，例如媒体平台和全球访问的 SaaS 服务。这条线路同时充当 CDN 节点和清洗中心，流量在接近用户的节点完成清洗和加速分发，减少了访问延迟。
加速线路 业务带宽最高 1000 Mbps，定位和安全加速线路 2.0 类似但规格较小，适合流量体量中等的业务。
| 方案 | 最大防护带宽 | 弹性防护计费 | 适合场景 |
| 保险防护 | 5000 Mbps | 超出按天计费 | 攻击规模可预估、成本敏感 |
| 无限防护 | 5000 Mbps | 无额外费用 | 攻击频繁、规模不确定 |
| 安全加速线路 2.0 | 1500 Mbps | 按实际超出量 | 需要同时加速和防护 |
| 加速线路 | 1000 Mbps | 按实际超出量 | 中等流量、兼顾加速 |
接入方式：网站业务 vs 非网站业务
DDoS 高防的接入方式根据业务类型分为两类，配置方式不同，需要在购买前确认业务属于哪种类型。
网站业务接入（HTTP/HTTPS）
网站业务是指通过域名访问的 HTTP 或 HTTPS 服务，包括独立站、企业官网、Web API、小程序后端等。接入方式是将域名的 CNAME 记录指向高防实例提供的 CNAME 地址，用户访问域名时，DNS 解析到高防的清洗 IP，流量先进入清洗中心，过滤后转发到源站服务器。
整个接入过程不需要修改服务器上的任何配置，只需要在 DNS 服务商处修改 CNAME 记录，DNS 生效后（通常 5–30 分钟）防护即刻生效。网站业务接入的高防实例支持配置多个域名，每个域名可以设置独立的防护策略。
非网站业务接入（TCP/UDP 端口转发）
非网站业务是指通过 IP 地址和端口直接访问的服务，最典型的场景是游戏服务器——游戏客户端通常直接连接服务器 IP 的特定端口，不通过域名访问。接入方式是将客户端配置为连接高防实例的 IP 和转发端口，高防实例将清洗后的流量转发到源站的对应端口。
非网站业务接入需要在高防控制台配置端口转发规则，指定转发协议（TCP/UDP）、高防端口和源站端口的对应关系，以及源站 IP 地址。每个高防实例默认支持 50 个转发端口，超出需要按量扩展。
源站保护：防止攻击者绕过高防直打源站
接入 DDoS 高防之后，一个容易被忽视的配置步骤是源站保护。高防的工作原理是让所有流量先经过清洗中心，但如果攻击者通过扫描或历史记录知道了源站的真实 IP，可以直接向源站 IP 发起攻击，完全绕过高防的防护能力。
源站保护的实现方式是修改 ECS 实例的安全组规则，将入站规则改为只允许来自 DDoS 高防清洗中心 IP 段的流量，拒绝来自其他任何来源的直接入站连接。这样即使攻击者知道了源站真实 IP，也无法直接向源站发起有效的攻击——流量在安全组层面就被拦截了。
阿里云在高防控制台提供了当前所有清洗中心的回源 IP 段列表，将这些 IP 段加入 ECS 安全组的入站白名单即可。注意清洗中心 IP 段可能随着节点扩容而更新，建议定期在控制台确认最新的 IP 段列表并同步更新安全组规则。关于 ECS 安全组规则的配置方式，可以参考 阿里云 ECS 完整教程的安全组配置部分。
DDoS 高防 + WAF 联合防护架构
DDoS 高防和 WAF（Web 应用防火墙）防护的是不同类型的攻击，两者配合使用才能构建完整的防护体系。
DDoS 高防防护的是流量型攻击：大量 SYN Flood、UDP Flood、ICMP Flood 等消耗带宽和连接资源的攻击，特点是攻击流量体积大，目的是让服务器带宽或连接数耗尽。
WAF 防护的是应用层攻击：SQL 注入、XSS 跨站脚本、Web 爬虫、CC 攻击（大量正常请求耗尽服务器处理能力）等，特点是单个请求看起来合法，但大量并发或恶意构造的请求会绕过服务器正常的访问控制。
两者联合部署时，流量经过的顺序是：DDoS 高防（入口层）→ WAF（中间层）→ 源站服务器。用户的请求先到达 DDoS 高防，清洗掉大流量攻击，剩余流量转发给 WAF，WAF 识别和过滤应用层攻击，最后只有合法的业务流量到达源站。
配置联合防护时，需要在高防控制台将回源地址设置为 WAF 提供的 CNAME，不是直接指向源站 ECS IP。同时在源站 ECS 的安全组中只允许 WAF 的回源 IP 段入站，形成完整的流量闭环。关于 WAF 的接入配置和防护规则设置，可以参考 阿里云 WAF 防护 的详细说明。
DDoS 高防的防护能力
阿里云 DDoS 高防的全球防护网络总带宽超过 20 Tbps，其中非中国内地防护带宽超过 5 Tbps，清洗中心节点覆盖亚太、欧洲和北美。
防护能力覆盖两个层面：网络层的大流量攻击通过 IP 信誉库和深度包检测（DPI）识别并过滤，对 SYN Flood、UDP Flood、ICMP Flood、ACK Flood 等常见攻击类型有成熟的清洗策略；应用层的 CC 攻击通过 AI 智能防护引擎自动学习正常业务访问模型，基于请求频率、URL 模式、User-Agent 等特征识别异常流量，支持配置精细到 URL 级别的防护策略。
攻击期间，高防控制台的安全总览报表实时显示攻击流量峰值、攻击来源 IP、访问来源地域、请求 TOP URL 等信息，帮助运维团队在攻击期间快速判断攻击特征并调整防护策略。
计费方式
DDoS 高防的账单由三个部分构成，理解各部分的计费逻辑，有助于在购买时选择合理的规格，避免不必要的费用。
实例费（预付费） 是按月或按年购买高防实例的固定费用，取决于选择的保底防护带宽、业务带宽、QPS 规格和功能套餐。保底防护带宽越高、业务带宽越大，实例费越高。这部分费用在购买时一次性支付，和实际流量无关。
标准功能套餐和增强功能套餐之间的价格差异为 8,000 元/月，增强套餐在标准套餐基础上提供更精细的防护策略、更高的域名和端口扩展上限。大多数业务标准套餐已经足够，增强套餐主要面向对防护颗粒度有更高要求的大型企业。
弹性防护费（后付费） 在攻击流量超出购买的保底防护带宽时产生，按天结算，费用取决于当天实际攻击流量的峰值档位。保险防护方案有此项费用，无限防护方案没有此项费用——这是两者最核心的计费差别。
弹性业务带宽/QPS 费（后付费） 在正常业务流量超出实例保底规格时产生。例如购买了 100 Mbps 保底业务带宽，某天业务高峰实际达到 150 Mbps，超出的 50 Mbps 按日 95 或月 95 峰值计费。注意这是正常业务流量超出规格时产生的费用，和攻击无关。
值得关注的是 2026 年 3 月 6 日起的计费变更：新用户购买 DDoS 高防实例，弹性业务带宽不再支持月 95 计费模式，只支持日 95 模式，同时不再支持在控制台手动调整弹性业务带宽配置。已有实例不受影响，继续按原有模式计费。
账号开通与代理充值
使用阿里云 DDoS 高防需要有效的阿里云国际版账号，DDoS 高防实例可以在阿里云国际版控制台直接购买，不需要额外审批。关于阿里云国际版账号的开通方式，可以参考阿里云国际合作伙伴的服务说明。
对于已经部署了 DDoS 高防的业务，月均账单通常不低，实例费加上弹性防护和业务带宽的后付费，月度综合成本可能在数百到数千美元之间。通过 Hosting Verge 代理渠道充值可以获得赠金返点（$100 到账 $110，$500 到账 $600，$1000 到账 $1250），赠金适用于 DDoS 高防实例费和所有后付费账单的抵扣，长期使用下年度综合成本明显低于官网直充。关于各档位充值返点的详细说明，可以参考 阿里云国际版折扣 的完整说明。
