什么是流量防护？和CC防护有什么区别？

一、一句话区分

最容易记住的区别是：流量防护拼带宽，CC 防护拼算力。DDoS 攻击想把你的带宽打满，让你连不上；CC 攻击想把你的 CPU/数据库连接打满，让你响应不过来。

二、流量防护（DDoS 防护）

2.1 攻击原理

DDoS 攻击在 L3-L4 层工作，常见形式包括：

• SYN Flood：伪造大量 SYN 包占满连接表
• UDP Flood：向随机端口灌 UDP 包
• ICMP Flood：大量 Ping 请求
• 反射放大：利用 DNS/NTP/SSDP 等协议放大流量
• 混合攻击：多种手法叠加，规避单一策略

2.2 防护逻辑

流量防护靠”清洗”。攻击流量先被牵引到高防机房，在那里根据包特征、源 IP 信誉、协议合规性做过滤，把正常流量回注到源站。判断依据在传输层，不关心你请求的是什么 URL。

2.3 计费方式

按防护带宽买。比如 100Gbps 防护、300Gbps 防护，攻击峰值超过购入带宽就可能被打穿。这就是”买多少防多少”的由来。

三、CC 防护

3.1 攻击原理

CC 攻击（Challenge Collapsar）是 L7 攻击。它的”毒辣”之处在于：请求本身完全合法——访问你的搜索结果页、列表页、动态接口，只是量特别大、特别集中。服务器要真真切切地查询数据库、渲染页面，CPU 和连接池很快被榨干。

3.2 防护逻辑

CC 防护靠”识别”。判断依据包括：

3.3 计费方式

按套餐或请求数计。多数云 WAF 把 CC 防护包含在套餐内，超出部分按 QPS 计费。

四、对比速览

五、为什么现在讲”一体化防护”

真实攻击往往是组合拳：先来一波 DDoS 把注意力引到带宽上，同时用 CC 打垮应用层。如果 DDoS 和高防是两家服务商，CC 是另一家，出问题时你会陷入”互相甩锅”的窘境——高防说流量不大，WAF 说不是我的问题。

因此现在更推荐选择同时具备 L3-L7 防护能力的一体化方案：流量进同一个入口，先清洗网络层，再过应用层规则，日志统一，责任清晰。

六、自查：你的站点需要哪种防护

1. 被打了才知道服务器连不上、Ping 不通 → 优先补流量防护
2. 服务器能连，但页面打不开、CPU 跑满 → 优先补 CC 防护
3. 两种都遇到过，或业务不能中断 → 直接上 L3-L7 一体化方案
4. 有促销 / 大促节点 → 提前扩容并预置弹性策略

七、小结

流量防护和 CC 防护不是替代关系，而是分层协作。理解”拼带宽 vs 拼算力”这个核心差异，就能快速判断自己遇到的到底是哪一类攻击，也更容易选对防护产品。