DDoS 保护服务 - 它们是否足够好？

Question

首先，我知道最好在数据中心级别进行 DDoS 保护。但是我们的 DC 还没有准备好提供高质量的保护。所以我们考虑使用一些外部 DDoS 保护服务。

我用谷歌搜索了几个，比如（抱歉不能发布很多链接）：

• http://blockdos.net/
• http://www.armoraid.com/
• http://www.blacklotus.net/
• http://ddosprotection.com/
• http://www.level3.com/index.cfm?pageID=555

总体思路是，您将 DNS 更改为指向 DDoS 保护服务。他们为您过滤流量，然后将其重定向到您的后端。因此，它增加了一些小的时间开销，但即使在 DDoS 下也能让您的站点保持活跃。

但是在网站上写东西真的很容易。我的问题是：有人有这种服务的经验吗？它真的有助于抵御 DDoS 吗？

Answer 1

一年前，我通过将 NGINX 设置为 apache 前面的反向代理，成功抵御了中级 DDoS 攻击（10K 请求/秒）。几乎所有 DDoS 流量都有一些共同点，通常是User-Agent字符串。只需识别共性并使用支持c10k的代理（例如 NGINX）来丢弃攻击流量，同时将真实流量转发到普通 Web 服务器。

FWIW：我的经验是使用 10 年历史的硬件在 100Mbit 互联网上行链路上运行Fedora Core 1 。攻击流量持续1周，但真实客户从未注意到站点性能有任何下降。只是要小心带宽费用。

至于商业运作，大概也做同样的事情，我无法想象为什么它们不起作用。这不是火箭手术。