上周有个做小游戏后端的读者来问：他买了台标称100G的高防服务器，被打到30G就掉线，客服回复「清洗需要时间」。他把两台机器的控制台截图发过来，一台写着「保底防护100G」，另一台写着「黑洞阈值100G」。这两个数字长得一模一样，含义差得很远。高防IP和高防服务器被混着卖、混着比价，是踩坑率偏高的环节。
先把架构讲清楚：防护插在哪一层
两者的差别不在「防多少G」，而在流量走谁的路。域名解析指到哪、源站IP有没有暴露，决定了后面所有的成本和运维方式。
高防IP：源站躲到后面，流量先过清洗中心
高防IP本质是一组反向代理或流量牵引节点。对外暴露的是服务商提供的高防IP（或CNAME），真实源站IP不出现在公开解析记录里。用户请求先到清洗中心，恶意流量在那边被丢弃或限速，正常请求再回源。
这里有个容易被忽略的点：回源方式决定源站是不是真的安全。如果回源走内网专线，源站IP基本能做到不外泄；如果只是「解析到高防IP、回源直接连你的公网IP」，那攻击者扫回源流量特征，或者从前端源码、历史DNS记录、证书透明日志里翻，还是可能把源站翻出来。下单前问一句：回源走公网还是专线？源站要不要配白名单？
高防服务器：防护和业务在同一台机器上
高防服务器一般是「带防护的物理机」，或者高防机房里的独立服务器、高防云主机。它没有额外一层代理，攻击流量直接打到这台机器所在的机柜，由机房侧防护设备配合BGP线路做过滤。
好处是架构简单、没有回源延迟、单机就能扛；代价是这台机器本身就是暴露点，防护被打满时业务直接受影响，没有「换个IP继续跑」的余地。迁机器、换IP的时间成本也比高防IP高不少。
| 对比项 | 高防IP | 高防服务器 |
|---|---|---|
| 防护位置 | 独立清洗中心/代理层 | 机房出口或宿主防护设备 |
| 源站暴露 | 默认隐藏，需确认回源方式 | 机器IP即入口，天然暴露 |
| 切换成本 | 换高防IP或改解析，分钟级 | 迁机器换IP，小时级到天级 |
| 延迟 | 多一跳回源，通常增加几毫秒到几十毫秒 | 直连，延迟更低 |
| 适合谁 | Web、API、游戏登录、跨境站点 | 单机业务、需自控系统环境、合规要求物理隔离 |
| 计费弹性 | 防护档位加转发流量，可弹性升配 | 机器规格加防护档位，升级常需换机 |
防护值到底指什么：清洗能力和黑洞阈值
这是本篇想重点强调的一件事。销售页面上那个「200G防护」，可能指三件完全不同的事：
- 清洗能力（防护带宽）：清洗中心能同时处理的攻击流量上限，超过之后才触发下一步策略。这是你真正花钱买到的东西。
- 黑洞阈值：攻击超过这个值，机房直接把你IP拉黑（空路由），所有流量包括正常用户全部丢弃。它是个止损开关，不是防护能力。
- 保底与弹性：保底是随时可用的清洗带宽，弹性是超出后按量计费临时调度。有些低价方案标的是弹性峰值，平时根本调度不到。
所以看到「100G高防」要反问：这是保底清洗能力100G，还是黑洞阈值100G？如果是后者，意味着30G的攻击就可能让你整站失联。我们见过不少标「T级防护」的方案，实际保底只有20到30G，剩下靠云清洗弹性调度，而弹性部分在攻击峰值时能不能抢到资源，取决于厂商调度池有多大，这个数字一般不会写在页面上。
还有一种情况：防护值按SYN Flood清洗能力标，换成UDP反射或者CC攻击，实际承接能力会明显下降。问清楚覆盖哪些攻击类型，比只看一个数字有用。这块的选型逻辑在 DDoS 防护方案怎么选 里有更细的拆解。
三类业务，怎么选不花冤枉钱
1. 已有自建机房或合规要求物理隔离的团队
金融、医疗、部分政企类业务，数据不出机房，或者要求独立硬件。这种情况别硬套高防IP，走机房托管加高防线路更顺：机器在你手上，防护在出口做。华南用户多的话，深圳 IDC 机房托管 的BGP线路延迟更友好，防护档位还能按月调。独服加防护的月成本大致在几千到几万区间，取决于带宽峰值和防护档，以实际报价为准。
2. 游戏、跨境电商、API 服务
这类业务的特点是源站可能分布多地、需要频繁扩缩容、被打时希望换条路继续跑。高防IP更合适，解析一改就切走，源站不用动。游戏还要特别注意TCP长连接被强制断开的问题，游戏服务器高防方案 里提到过，有些清洗策略对UDP游戏包不友好，要单独配置。跨境场景建议分层：静态资源走CDN吸收，动态接口走高防，正常用户不经过清洗中心那一跳，延迟更可控。
3. 小团队、创业期产品
没精力运维就选高防IP，源站放在普通云主机或VPS上，源站只对高防回源IP开放端口，其他一律拒绝。成本低、切换快。别一上来就买高防独服，机器闲置率高，防护档位还可能买错方向。
购买时要防的 5 个话术陷阱
- 「防护值就是清洗能力」，但合同里写的是黑洞阈值。让销售把保底清洗带宽和黑洞触发阈值两个数字都写进订单备注，只口头说的一律按没有处理。
- 「无限防护」。没有这回事。要么后面跟着超出后按量计费，要么跟着超出后黑洞。看清超出部分的单价，攻击持续几小时的话，按量账单可能比月费还高。
- 「秒级接入、无需改动」。高防IP接入通常要改DNS或接CNAME，还要在源站配回源白名单、放行高防回源段端口。业务里如果有大量第三方回调（支付、短信、Webhook），改完解析要确认回调不受影响。
- 「CC防护免费送」。问清楚CC是包在防护值里还是单独计费，QPS上限多少，误杀怎么调。便宜方案的CC规则往往较粗，正常用户被拦的概率不低。
- 「随时可升配」。升级可能是换IP或换线路，这两种都会造成短暂中断。问清楚升配要不要重新解析、要不要停机。
下一步：按这三步走
先确认业务形态，是不是必须隐藏源站、能不能接受多一跳延迟；再要两个数字，保底清洗带宽和黑洞触发阈值；最后小流量压测一遍，用测试攻击或者历史流量回放，看清洗策略对你业务的实际影响。合同里没写清的数字，售后大概率会变成「以实际情况为准」。
如果拿不准自己的业务该走高防IP还是高防服务器，可以把当前架构（域名解析方式、源站部署位置、日均带宽和QPS）发到 bd@319keji.com，我们按你的实际流量特征给个判断，不收费，也不强行推产品。BGP线路和高防机房的组合方案在 BGP 高防机房 有说明，可以先对照着看。