如果你在找怎樣防 DDoS 攻擊，先說結論：沒有任何一個開關可以「徹底阻止」所有 DDoS，真正有效的 DDoS 防護是分層緩解。 Cloudflare 對 DDoS 的定義和運作方式講得很清楚：這類攻擊的核心，是用大量流量壓垮目標服務，而且常借助被控制的裝置和殭屍網絡放大攻擊。CISA 的 DDoS 指南也強調類似邊界，並把常見技術分成流量型、協議型和應用層三類。［1］［2］

你可以把這篇網絡安全指南作為基線清單，順手檢查帳戶、裝置、瀏覽器和網絡加固。

這也代表，不同對象的防法完全不同。個人玩家更關心「不要讓真實 IP 輕易暴露」；網站營運方更關心「限速、清洗、WAF、上游吸收和應急預案」。

如果你想先單獨拆解「IP 暴露後到底會怎樣」，可以讀真實 IP 暴露後的風險範圍。

關鍵要點

DDoS 的目標通常不是偷資料，而是令服務變慢、不可用，或把你的線路和設備資源打滿。［1］

它常分成流量型、協議型和應用層攻擊，緩解方式也不一樣。［1］

對個人用戶來說，最重要的是減少真實 IP 暴露，收緊路由器和遊戲主機的對外入口。

對網站和服務來說，關鍵是接入有吸收能力的上游，並配合限速、WAF 和應急切換。［1］

「把所有流量都黑洞掉」雖然能止血，但也可能把正常用戶一起攔掉。［1］

怎樣防 DDoS 攻擊？先理解它是甚麼

DDoS 是分散式阻斷服務攻擊。簡單說，就是攻擊者用大量被控制的裝置同時向目標發請求，把伺服器、頻寬、防火牆或某個應用層接口壓到無法正常服務。［1］

Cloudflare 和 CISA 對常見 DDoS 技術的歸納方向基本一致：

流量型攻擊：不斷塞滿頻寬；
協議型攻擊：耗盡網絡設備或連線狀態；
應用層攻擊：針對某個頁面、接口或業務邏輯猛打。［1］［2］

所以「怎樣防」必須先知道你在防哪一層。

先分清：你是個人用戶，還是服務提供方？

這是很多文章沒有講透的地方。

場景	你真正要防的是甚麼	優先級最高的動作
個人玩家/主播	真實 IP 被盯上後遭短時流量攻擊	減少 IP 暴露、不要隨便開端口
家庭網絡	路由器、攝影機、NAS 暴露在公網	關閉不必要映射、改預設密碼
小網站/小團隊	單一網站、接口或源站被打掛	接入有 DDoS 緩解能力的上游
企業服務	頻寬、L4/L7、多入口同時受壓	分層清洗、限速、WAF、故障轉移

對個人用戶，最值得先做的 4 件事

1. 不要輕易暴露真實 IP

很多個人 DDoS 場景，尤其是聯機遊戲、主播對局或語音工具爭執，問題不是「攻擊者太強」，而是你的真實 IP 先暴露了。

VPN 不能阻止已經指向你家真實 IP 的洪泛，也不是網站的上游抗攻擊服務。對於允許使用 VPN、而且確實經過隧道的遊戲或語音連線，AethoVPN 可以減少向新對端暴露家居 IP；先確認相關應用程式使用 VPN 出口。若接入頻寬已被攻擊佔滿，應聯絡 ISP，不要指望新建隧道便能恢復頻寬。註冊帳戶開始 3 天試用，先在這一個應用程式上測試。

如果你還未弄清 IP 暴露的邊界，可以一起看真實 IP 暴露後的風險範圍。

2. 不要隨手開放端口和 UPnP

開放端口不是原罪，但「為了某個功能先開着再說」往往會令暴露面越做越大。家用 NAS、遠端桌面、舊攝影機和私服工具，尤其容易把自己送到公網前台。

如果你還在補網絡基礎，也可以看NAT 防火牆的保護範圍。

如果你平時在家打機、開 NAS 或做遠端桌面，這一步最好和家庭 Wi‑Fi 怎樣保護更安全？從路由器到 IoT 的關鍵設定一起看，很多 DDoS 暴露面其實從家用網絡邊界鬆動開始。

3. 路由器和公網裝置不要用預設設定

預設密碼、舊固件、長期不更新的 IoT 裝置，本身也可能被拉進殭屍網絡，反過來成為攻擊別人的工具。［1］

4. 出現異常時，先聯絡 ISP 或遊戲平台支援

對普通家庭用戶來說，真正能處理上游流量洪峰的，往往不是你自己的設備，而是營運商或平台方。不要把希望全押在本地防毒或重啟路由器上。

如果你連「路由器是不是已經有異常」都不能確認，也可以看怎樣判斷路由器是不是被黑了？先看這 7 個高頻信號。

對網站和服務營運方，7 條更關鍵的緩解思路

1. 接入具備 DDoS 吸收能力的上游

如果源站直接裸露在公網前面，遇到大流量攻擊通常扛不住。Cloudflare 明確提到，Anycast 分流和分散式網絡吸收，是緩解 DDoS 的核心手段之一。［1］

如果你還分不清公網入口、端口暴露和代理層的邊界，也可以回看代理層與公網入口的分別。

2. 做速率限制

限速不是萬能，但對很多接口濫用、刷請求和部分應用層洪泛很實用。［1］關鍵是別全站一刀切，要按登入、搜尋、API 和高成本頁面分開做。

3. 用 WAF 過濾應用層異常流量

WAF 更適合處理 L7 層的異常請求模式，例如某個路徑、某類 User-Agent、某種參數結構持續被打。Cloudflare 也把 WAF 視為緩解應用層 DDoS 的重要手段。［1］

4. 保護源站 IP，別讓回源地址裸奔

很多防護失效，不是前面沒接清洗，而是源站 IP 早就被旁路打穿。這一步經常比「再買一個插件」更重要。

5. 預先定義黑洞、切流和應急降級策略

Cloudflare 也提到黑洞路由是一種防禦手段，但副作用很明顯：正常流量也可能一起丟掉。［1］所以它更像最後一道止血方案，而不是預設答案。

6. 監控異常模式，不只盯總流量

真正有價值的指標通常包括：

某個接口請求突然暴增；
同一行為特徵的客戶端突然集中出現；
某時段出現不自然的周期峰值；［1］

只看「頻寬是不是滿了」，往往已經太晚。

7. 做演練，而不是等攻擊來了才分工

誰通知上游、誰拉黑入口、誰調 WAF 規則、誰發狀態頁說明，最好事先寫清楚。很多團隊不是敗在技術缺口，而是攻擊來時沒有人知道先動哪一步。

哪些「防 DDoS 偏方」最容易誤導人？

誤區 1：裝個安全軟件就能防所有 DDoS

對本地終端風險也許有幫助，但面對大流量網絡層攻擊，它不是主戰場。

誤區 2：所有攻擊都靠換 IP 解決

對個人用戶有時有用，但對網站和服務，問題通常沒有這麼簡單。

誤區 3：只要有防火牆就夠

普通防火牆在大規模洪峰或複雜 L7 攻擊面前，很可能本身先被拖垮。

總結

怎樣防 DDoS 攻擊，最重要的是先分清你在保護個人連線，還是在保護網站和服務。
對個人用戶，重點是減少真實 IP 暴露、關閉不必要的公網入口、收緊家用網絡邊界。
對網站和服務，重點是 Anycast/清洗、限速、WAF、源站隱藏和演練好的應急流程。［1］
沒有單一工具可以包打天下，真正有效的是分層緩解。

常見問題（FAQ）

DDoS 會偷走我的資料嗎？

通常它的主要目標是令服務不可用，不是直接竊取資料。［1］

家用路由器會成為 DDoS 的目標嗎？

會，尤其是真實 IP 暴露、端口開放或設備設定較弱時。

個人玩家最該先做甚麼？

先減少真實 IP 暴露，再檢查路由器、UPnP 和不必要的端口映射。

WAF 能防所有 DDoS 嗎？

不能。它更擅長應用層流量，網絡層和大頻寬洪峰仍要靠上游能力。［1］

黑洞路由是不是最佳方案？

不是。黑洞路由會丟棄目標流量，可能同時阻斷正常用戶，因此通常只適合已評估業務影響的應急情況。［1］

VPN 能徹底擋住 DDoS 嗎？

不能一概而論。對某些個人連線場景，它能幫助隱藏真實出口；但對網站和服務的 DDoS，核心仍是上游和邊緣緩解體系。

免責聲明

本文僅供一般網絡安全教育參考，不構成企業級架構採購、SLA 承諾或事故響應法律建議。不同業務規模和攻擊面需要的緩解方案差異很大。

來源

Cloudflare Learning Center, What is a DDoS attack?: https://www.cloudflare.com/learning/ddos/what-is-a-ddos-attack/
CISA, Understanding and Responding to Distributed Denial-Of-Service Attacks: https://www.cisa.gov/resources-tools/resources/understanding-and-responding-distributed-denial-service-attacks Sources checked 2026 年 5 月 8 日。

延伸閱讀：

怎樣防 DDoS 攻擊？先分清你是個人用戶還是網站營運方