网站突然打不开，可能是服务器故障，也可能正遭受分布式拒绝服务攻击（DDoS）。处置时，先确认异常范围，再有序分流和过滤恶意请求；盲目封禁来源或重启服务，可能误伤正常访问。以下是网站遭遇DDoS时的流量清洗流程，适用于需要尽快恢复服务并降低误拦风险的场景。
第一步：确认攻击类型和影响范围
先从监控和日志判断问题出在哪里：出口带宽是否持续接近上限，连接数是否异常增长，还是只有特定页面响应变慢。对比平时的流量曲线，并检查错误率、服务器连接状态和应用日志。单一指标升高不能单独证明遭遇DDoS，也要排查配置变更、程序故障和正常流量高峰。
初步区分攻击类型：带宽型攻击以大量数据包占满链路；协议型攻击消耗网络设备或服务器连接资源；应用层攻击则可能集中请求搜索、登录等页面。记录开始时间、受影响服务、峰值变化和已采取措施，便于后续调整过滤策略。
第二步：启动协同响应与流量牵引
指定一名处置负责人，联系主机服务商或具备清洗能力的服务方，确认可用的牵引方式、覆盖范围和回切流程。若攻击流量已挤满接入链路，仅在服务器防火墙上拦截通常来不及，需让流量在到达受影响网络前经过清洗节点。
- 核对受影响的公网服务、端口和业务优先级，明确哪些功能必须先恢复。
- 按服务方要求启用流量牵引，并确认正常流量能够转发到原站点。
- 保留原有网络配置和变更记录；变更前确认回退方法，避免故障时无法恢复。
有些方案适合保护整个网络入口，有些更适合保护特定网站或应用。具体能否使用，取决于服务架构、服务方能力和业务对网络协议的要求。
第三步：制定分层清洗规则
流量进入清洗环节后，应按攻击特征逐层过滤，而不是简单地把流量全部挡掉。带宽型攻击侧重丢弃明显异常的数据包；协议型攻击可限制异常连接建立、设置连接速率上限；应用层攻击则要结合请求路径、频率和行为特征进行识别。
- 先保业务：优先保障首页、查询或交易等关键功能，暂时限制非核心接口。
- 再控频率：对短时间内重复请求的来源或会话限速；阈值应参考正常访问基线和接口用途。
- 谨慎封禁：来源地址可能被伪造、共享或属于正常用户，避免仅凭单一特征大范围拦截。
清洗策略应同时观察误拦情况。若真实用户大量出现验证失败或请求超时，应缩小规则范围、调整阈值，并检查规则是否误伤共享出口的访问者。
第四步：验证清洗效果与服务状态
清洗启动后，持续对照入口流量、服务器负载、错误率和关键页面可用性。可按数分钟一个观察周期复核，攻击波动较大时提高观察频率；这个周期只是操作参考，实际应结合告警响应速度和业务变化调整。
- 从外部网络访问关键页面，确认页面内容和核心操作正常。
- 检查被允许的请求是否到达应用，同时确认异常连接和错误请求是否下降。
- 若流量仍堵塞链路，或正常访问明显受阻，立即与清洗服务方复核牵引状态和过滤条件。
如果只是服务器压力下降，但用户仍无法访问，问题可能还在转发、回源连接或应用自身，需要逐段定位，不能把“已开启清洗”等同于“故障已解决”。
第五步：稳妥回切并复盘
攻击减弱后，不要立刻撤掉所有防护。先确认异常流量持续回落，业务指标稳定，再按服务方的回切流程逐步恢复原有路径。回切期间继续监控；若异常再次上升，及时暂停回切并重新评估。
事后整理时间线、告警记录、规则变更和误拦反馈，找出薄弱点：例如关键页面是否缺少请求频率控制、是否没有清晰的联系人和升级路径。完善预案时，写明负责人、服务方联系方式、关键业务清单和回退步骤。这样，网站遭遇DDoS时的流量清洗流程才不只是临时拦截，也能成为下一次处置的可执行依据。
常见问题
清洗会不会影响正常用户？
有可能。规则过严、攻击与正常请求特征相似时，真实访问也可能被限速或拦截。应持续检查误拦反馈，并依据业务基线调整。
只在服务器上封禁攻击来源够吗？
不一定。如果大量流量已占满上游链路，服务器端封禁无法释放链路容量，通常需要在流量抵达该链路前进行清洗。
什么时候可以结束防护？
没有适用于所有网站的固定时长。应结合流量趋势、服务稳定性和服务方建议决定，并在回切过程中继续监控。