1个T的DDoS攻击（即每秒1Tbps流量），没有任何单台服务器能扛得住，必须依靠分布式清洗集群或高防云服务商的高防IP配合BGP牵引来防御。单台硬件防火墙或服务器的处理能力上限通常在百G级别,1T流量足以打垮绝大多数传统机房。
下面用大白话拆解，什么样的服务器和架构,才能接住这波流量。
1T攻击到底是个什么概念？先聊清楚强度
提到“1个T”，很多站长没有体感,我们可以做个类比：
- 普通家庭宽带：100Mbps
- 小型企业专线：1Gbps
- 中型机房总出口：100Gbps – 500Gbps
- 1Tbps，相当于同时把1000条千兆专线灌满，或者把10个中型机房的全部出口带宽打满。
行业共识认为，能够持续稳定扛住1T流量的防御方案，已经属于国家级别的清洗能力，通常出现在针对金融、政务、头部游戏公司的攻击场景中。
为什么单台服务器必然扛不住？硬件极限算笔账
网卡与交换机的物理瓶颈
单台物理服务器的网卡，主流是10Gbps，高配的到25Gbps或40Gbps，就算你插上4张100Gbps的网卡做链路聚合，理论带宽也只有400Gbps,距离1T还差一大截。
更重要的是，流量一旦超过网卡处理能力，数据包直接被丢弃，CPU根本来不及干预，这不是优化系统能解决的,是物理层上限。
CPU与操作系统的软性瓶颈
就算网卡扛住一部分，Linux内核处理数据包也需要CPU资源，处理百万级PPS（每秒数据包）时，软中断就会占满所有核心，1T攻击的攻击包通常是小包，PPS规模可能达到数亿级别,这远远超出任何操作系统的处理范围。
单机防御1T是不现实的，必须靠“堆机器”或“堆带宽”来实现。
能扛住1T攻击的服务器选型，按场景匹配最省钱
既然单机不行，那真实战场上用什么方案？以下按投入成本从低到高排列。
高防IP + 大带宽转发（适合中小型业务）
这是目前最常见的做法，你不需要自己买服务器扛,而是买高防服务商的IP。
- 高防IP节点：服务商在全国或全球部署多个清洗节点，每个节点带宽在几百G到1T以上。
- BGP牵引：攻击流量先进入高防节点，被清洗掉恶意流量后,再把干净流量转发到你的源站服务器。
- 源站服务器要求：这时候你的服务器只需要扛住清洗后的正常业务流量，一般10Gbps以内的带宽就够用了。
具体操作路径：
- 在服务商控制台购买高防IP，选择保底带宽（比如300G）。
- 将域名解析到高防IP,回源地址设置为你的源站服务器IP。
- 攻击超过保底值后，触发弹性防护,按量计费。
- 设置好安全组和防火墙,只允许高防IP回源端口访问。
这种方案下，源站服务器的性能反而不重要,重要的是你选的高防节点总带宽是否大于1T。
多节点负载均衡 + 智能DNS调度（适合有自建机房的大企业）
如果你的业务对延迟和成本极其敏感，有自建机房,可以采用分布式架构。
- 在3-5个不同运营商、不同地域的机房部署相同的服务器集群。
- 通过DNS智能解析或GSLB（全局负载均衡）,把用户请求分发到不同节点。
- 攻击某节点时，自动将流量切换至其他节点,被打的节点直接黑洞。
这个方案的难点在于业务必须无状态化，且需要监控系统和自动化切换脚本，人工介入时间超过10分钟就可能被击穿。
CDN + 源站隐藏（适合静态业务占比较高的网站）
- 全部流量走CDN节点,CDN本身有防护能力。
- 源站IP不暴露,只允许CDN回源。
- 攻击者找不到源站地址，1T攻击打在CDN的分布缓存节点上,每个节点承受的压力可能只有十几G。
这个方案成本最低，但只对静态资源有效，如果你的网站全是动态接口，CDN回源压力会很大,反而容易把源站挤爆。
服务器硬件配置怎么做？按“清洗后流量”来配
既然源站服务器抗的是清洗后的流量，那配置就不用太离谱，以一个真实的业务场景为例：5000人在线，日均PV 20万，有大量图片和视频。
| 配置项 | 推荐规格 | 理由 |
|---|---|---|
| CPU | 8核以上（Xeon Gold或EPYC） | 处理动态请求和SSL握手，8核配够 |
| 内存 | 32GB起 | 缓存数据库查询和热点数据 |
| 系统盘 | 100GB SSD | 装系统和日志 |
| 数据盘 | 1TB NVMe SSD | 数据库和静态资源 |
| 带宽 | 按峰值业务流量的3倍购买 | 防止正常业务流量波动时被丢包 |
| 防御能力 | 取决于高防IP，而非本地 | 源站本身不需要买硬件防火墙 |
真正的重点在于高防服务商的选择。 你需要确认：
- 服务商的最大清洗能力是否超过1T。
- 是否有多地冗余节点,一个节点被打瘫后能否秒切。
- 是否有TCP/UDP/HTTP全协议防护。
- 回源IP是否需要白名单，能否做到“只出不进”。
用什么工具和命令验证服务器抗攻击效果？
在正式上线前，可以模拟测试，但注意1T的测试流量是打不出来的,能用的只有百G级的压测工具。
使用hping3进行基础压力测试
hping3 -S -i u1000 -p 443 你的服务器IP
这条命令每秒发送1000个SYN包,测试TCP握手队列是否被塞满。
观察系统负载
top -i watch -n 1 'cat /proc/net/dev'
重点看rxKByte/s（接收字节数）和软中断占用（si%），如果软中断超过50%，说明网卡开始丢包,需要卸载网卡队列到多核。
验证CDN和高防是否生效
ping 你的高防IP curl -I https://你的域名
如果高防IP有响应，但源站IP被屏蔽,说明防护策略已生效。
踩坑案例：为什么有人买了高防还是被打穿？
源站IP泄露。 攻击者通过历史DNS记录或邮件头找到源站IP，绕过高防直接打源站，这种情况下,即使高防节点有10T带宽也白搭。
解决： 强制所有回源走内网或专线,源站防火墙只放行高防节点IP段。
回源拥塞。 高防节点清洗后，回源线路带宽只有1G，但正常业务峰值就占了800M，一旦攻击流量夹杂大量正常请求，回源线路被占满,网站一样卡死。
解决： 回源带宽按正常业务峰值的5倍购买,或者使用多线BGP回源。
TCP连接耗尽。 攻击者发大量TCP连接请求，占满服务器的连接数上限，高防IP只能清洗流量层面的攻击，应用层攻击（CC）需要配合云WAF或本地限流。
解决： 在Nginx中配置limit_conn和limit_req,限制单IP连接数和请求速率。
针对1T攻击的服务器配置清单，直接抄作业
如果你预算充足，需要构建一个能扛住1T攻击的业务系统,至少需要以下资源：
- 源站服务器集群：3台以上，配置均衡,隐藏在防火墙后面。
- 高防IP服务：选择保底防御300G以上的服务商，且明确支持弹性到1T以上。
- CDN前置：开启全站加速,隐藏源站IP。
- 数据库独立部署：与Web应用服务分离,避免数据库被打瘫导致数据丢失。
- 监控告警：配置流量超过50%阈值就自动告警,提前手动切换流量。
下面是具体预算参考（国内主流云厂商大致价格区间，仅供参考）：
| 资源 | 月成本（约） | 说明 |
|---|---|---|
| 高防IP（300G保底+弹性） | 3万-10万 | 按攻击峰值计费，弹性部分按流量算 |
| 源站服务器（3台） | 每台2000-5000元 | 带宽按10Mbps买即可，跑业务流量 |
| CDN加速 | 按流量计费 | 静态资源多则便宜，动态请求多则贵 |
| 云WAF | 数千元 | 过滤SQL注入和CC攻击 |
常见误区：持久战和突发战的代价差别很大
1T攻击持续1分钟和持续1小时，成本完全不同。
- 短期攻击（1-10分钟）：多数服务商的高防IP按攻击次数的固定费用算，或不额外收费（包含在保底中）。
- 持久攻击（超过1小时）：弹性防护会被扣费，部分厂商每小时弹性单价高达数千元，1T级别的攻击持续1天，防御账单可能达到数十万元。
业内专家有个观点：与其硬扛，不如主动降级。 如果业务不是金融级关键型应用，当攻击超过1T且长时间不停止时,可以考虑：
- 切换至静态页面或维护页,确保数据安全。
- 将攻击流量引流至第三方黑洞IP（指向空白IP段）,消耗攻击方资源。
- 通过云厂商的DDoS高防调度,将流量切换到免实例节点。
常见问题快答
问：1T攻击真的能完全防住吗？
答：在运营商层面可以做到，国内大型云厂商的高防集群总带宽已经超过10Tbps，攻击方需要调动大量的僵尸网络才能发起1T流量，这本身成本很高，对大多数企业来说，选对高防服务商，防住1T攻击是可行的。
问：协议层的攻击（如SYN Flood）这么大流量，源站还要做什么？
答：源站有点多余的动作，攻击流量清洗后会大幅减少，但仍有正常的连接请求到达，源站需要开启syncookies（Linux默认开启），增大tcp_max_syn_backlog队列，关闭不必要的端口，限制连接速率。
问：自建机房如何防御1T攻击？
答：自建机房几乎不可能防御1T攻击，需要租用运营商的近源清洗带宽，把流量引导到运营商侧的清洗设备，这需要与省级运营商合作，按年费制购买服务，价格通常以百万级起步，且需要准备冗余链路。
1T攻击的本质是带宽战，不是服务器配置战，你在服务器上做再多的优化，也不如一纸高防IP订单来得直接，评估好自身业务的重要性，匹配对应的预算,才是理性选择。