高防IP和高防服务器差在哪？买前先搞清这几个坑
上周有个做小游戏后端的读者来问：他买了台标称100G的高防服务器，被打到30G就掉线，客服回复「清洗需要时间」。他把两台机器的控制台截图发过来，一台写着「保底防护100G」，另一台写着「黑洞阈值100G」。这两个数字长得一模一样，含义差得很远。高防IP和高防服务器被混着卖、混着比价，是踩坑率偏高的环节。 先把架构讲清楚：防护插在哪一层 两者的差别不在「防多少G」，而在流量走谁的路。域名解析指到哪、源站IP有没有暴露，决定了后面所有的成本和运维方式。 高防IP：源站躲到后面，流量先过清洗中心 高防IP本质是一组反向代理或流量牵引节点。对外暴露的是服务商提供的高防IP（或CNAME），真实源站IP不出现在公开解析记录里。用户请求先到清洗中心，恶意流量在那边被丢弃或限速，正常请求再回源。 这里有个容易被忽略的点：回源方式决定源站是不是真的安全。如果回源走内网专线，源站IP基本能做到不外泄；如果只是「解析到高防IP、回源直接连你的公网IP」，那攻击者扫回源流量特征，或者从前端源码、历史DNS记录、证书透明日志里翻，还是可能把源站翻出来。下单前问一句：回源走公网还是专线？源站要不要配白名单？ 高防服务器：防护和业务在同一台机器上 高防服务器一般是「带防护的物理机」，或者高防机房里的独立服务器、高防云主机。它没有额外一层代理，攻击流量直接打到这台机器所在的机柜，由机房侧防护设备配合BGP线路做过滤。 好处是架构简单、没有回源延迟、单机就能扛；代价是这台机器本身就是暴露点，防护被打满时业务直接受影响，没有「换个IP继续跑」的余地。迁机器、换IP的时间成本也比高防IP高不少。 对比项 高防IP 高防服务器 防护位置 独立清洗中心/代理层 机房出口或宿主防护设备 源站暴露 默认隐藏，需确认回源方式 机器IP即入口，天然暴露 切换成本 换高防IP或改解析，分钟级 迁机器换IP，小时级到天级 延迟 多一跳回源，通常增加几毫秒到几十毫秒 直连，延迟更低 适合谁 Web、API、游戏登录、跨境站点 单机业务、需自控系统环境、合规要求物理隔离 计费弹性 防护档位加转发流量，可弹性升配 机器规格加防护档位，升级常需换机 防护值到底指什么：清洗能力和黑洞阈值 这是本篇想重点强调的一件事。销售页面上那个「200G防护」，可能指三件完全不同的事： 清洗能力（防护带宽）：清洗中心能同时处理的攻击流量上限，超过之后才触发下一步策略。这是你真正花钱买到的东西。 黑洞阈值：攻击超过这个值，机房直接把你IP拉黑（空路由），所有流量包括正常用户全部丢弃。它是个止损开关，不是防护能力。 保底与弹性：保底是随时可用的清洗带宽，弹性是超出后按量计费临时调度。有些低价方案标的是弹性峰值，平时根本调度不到。 所以看到「100G高防」要反问：这是保底清洗能力100G，还是黑洞阈值100G？如果是后者，意味着30G的攻击就可能让你整站失联。我们见过不少标「T级防护」的方案，实际保底只有20到30G，剩下靠云清洗弹性调度，而弹性部分在攻击峰值时能不能抢到资源，取决于厂商调度池有多大，这个数字一般不会写在页面上。 还有一种情况：防护值按SYN Flood清洗能力标，换成UDP反射或者CC攻击，实际承接能力会明显下降。问清楚覆盖哪些攻击类型，比只看一个数字有用。这块的选型逻辑在 DDoS 防护方案怎么选…