阿里云基于多年的DDoS攻防經驗和安全技術，提供多款正式商用的DDoS防護解決方案供您選擇，滿足業務中對各類DDoS攻擊進行安全防護的需求。本文介紹如何選擇合適的DDoS防護解決方案。
視頻指導
DDoS防護解決方案
阿里云提供的DDoS防護解決方案包括免費的DDoS基礎防護和以下收費服務：DDoS原生防護、DDoS高防，下表描述了不同方案的具體說明。選擇防護解決方案前，請您先了解各產品：什么是DDoS原生防護、什么是DDoS高防。
如果需要定制專屬的安全解決方案（如超大規格、應用層UDP防護等），可以通過電話咨詢阿里云安全架構師。詳細內容，請參見聯系我們。
產品架構 | DDoS基礎防護 | DDoS原生防護 | DDoS高防 | |
防護標準型云產品 | 防護增強型云產品 | |||
方案簡介 | 基于阿里云原生防護網絡，不改變源站服務器IP地址，抵御網絡層、傳輸層DDoS攻擊。 說明 DDoS原生防護增強型目前僅支持EIP。與標準型不同，增強型為您購買云產品時DDoS防護策略選擇增強型，而非您購買云產品后，再購買DDoS原生防護實例。 | 通過DNS解析方式牽引流量到阿里云全球DDoS清洗中心，抵御網絡層、傳輸層、應用層DDoS攻擊，隱藏被保護的源站服務器。 | ||
防護能力 | 低，基于阿里云上防御能力，500 Mbps~5 Gbps。 詳細內容，請參見DDoS基礎防護黑洞閾值。 | 較高，基于阿里云上防御能力，最高可達幾百Gbps。 詳細內容，請參見什么是DDoS原生防護。 | 高，基于阿里云全球DDoS清洗中心能力，最高可達Tbps以上。 | 高，基于阿里云全球DDoS清洗中心能力，最高可達Tbps以上。 |
防護對象 | 部分阿里云產品。 包含ECS、SLB、EIP（包含綁定NAT網關的EIP）、IPv6網關、輕量服務器、WAF、GA。 | 部分阿里云產品。 包含ECS、SLB、EIP（包含綁定NAT網關的EIP）、IPv6網關、輕量服務器、WAF、GA。 | 部分阿里云產品。目前僅支持DDoS防護增強型EIP。 | 任意公網IP。 |
適用場景 | 購買相應云產品后，默認開啟。 |
|
|
|
說明 | 免費。 |
| 后付費購買模式，詳細信息，請參見原生防護2.0（后付費）。 | 版本選擇指導：
|
適合防御的DDoS攻擊類型
下表中使用的符號說明如下：
√：表示支持防御
×：表示不支持防御
攻擊類型 | 攻擊子類 | DDoS原生防護 | DDoS高防 | |
防護標準型云產品 | 防護增強型云產品 | |||
網絡層DDoS攻擊 | 主要包括Frag Flood、Smurf、Stream Flood、Land Flood、IP畸形報文、TCP畸形報文、UDP畸形報文等。 | √ | √ | √ |
傳輸層DDoS攻擊 | 主要包括Syn Flood、Ack Flood、UDP Flood、ICMP Flood、RstFlood/NTP/SSDP/DNS反射等。 | √ | √ | √ |
應用層DDoS攻擊（HTTP/HTTPS） | 也稱Web類應用層CC攻擊，主要包括HTTP/HTTPS CC、HTTP慢速攻擊（Loic/Hoic/Slowloris/Pyloris/Xoic）等針對HTTP業務的CC攻擊，例如網站、API接口、WebSocket等業務。 | × | × | √ |
應用層DDoS攻擊（非HTTP/HTTPS的TCP應用層協議） | 也稱非Web類應用層CC攻擊，主要包括TCP CC、TCP空連接、TCP連接資源消耗攻擊等針對非HTTP業務的基于TCP應用層的CC攻擊，例如私有協議、MySQL、MQTT、RTMP等業務。 | × | √ 公測中，當前僅支持杭州地域，請通過售前在線咨詢聯系商務經理申請。 | √ |
應用層DDoS攻擊（基于UDP的應用層協議） | UDP-CC、NS服務的DNS-Flood等針對UDP業務的CC攻擊，例如NS服務、UDP游戲業務、UDP語音通話等業務。 說明 UDP業務CC防護需要額外購買安全管家，否則不支持。 | √ 支持非NS服務的DNS攻擊進行清洗。如需保護NS服務，請使用DNS安全。 | √ 支持非NS服務的DNS攻擊進行清洗。如需保護NS服務，請使用DNS安全。 | √ 支持非NS服務的DNS攻擊進行清洗。如需保護NS服務，請使用DNS安全。 |
防護效果說明
由于各類DDoS攻擊不斷更新，不同的DDoS防護解決方案的防護組件、架構、防護能力等不完全一致，且DDoS攻擊場景下有很多業務因素可能會影響DDoS防護的最終效果，我們建議您關注下述可能影響防護效果的場景和業務因素，并按照技術專家積累的攻防對抗經驗提升防護能力。
針對接入后的正常業務流量，DDoS防護解決方案的智能AI防護會有正常業務流量特征的學習時間，如您剛接入業務就遭受DDoS攻擊或CC攻擊，首次攻擊可能存在瞬時的攻擊透傳，建議您盡可能的提升源站負載能力，并按照如下建議進行配置：