一说 DDoS，只知道 "流量打爆"。其实 DDoS 分网络层、传输层、应用层好几类，打法完全不同 —— 只有认清类型，才知道高防 CDN 在防什么、怎么防。这篇从分类到应对一次讲清。
很多人把 DDoS 理解成 "一大堆流量把服务器打爆"，其实这只是其中一种。DDoS 攻击按 OSI 层级分，L3/L4 的流量型、L7 的应用型，打法完全不同，防护手段也不一样。这篇把常见类型和对应的高防 CDN 应对办法讲清楚，别再一锅炖。
一、DDoS 攻击按层分类：一张速查表
| 层级 | 常见攻击类型 | 攻击特征 | 高防 CDN 怎么应对 |
|---|---|---|---|
| 网络层（L3） | UDP Flood、ICMP Flood | 海量数据包打爆带宽 / 设备 | 流量清洗，把攻击流量引到清洗节点泄洪 |
| 传输层（L4） | SYN Flood、TCP 连接耗尽 | 半连接占满，拖垮服务器 | 边缘防护、连接层清洗，拦截畸形包 |
| 应用层（L7） | HTTP Flood、CC 攻击 | 大量假请求刷爆业务接口 | 无感人机识别 + WAF，拦假请求放真人 |
核心认知：L3/L4 靠 "堆带宽硬抗 + 流量清洗"，L7（尤其 CC）靠 "识别真伪"—— 后者才是高防 CDN 技术含金量的体现。
二、每类攻击，高防 CDN 分别怎么应对
1. 网络层（L3）：UDP/ICMP Flood → 流量清洗用海量 UDP、ICMP 包打爆你的带宽或防火墙。应对靠清洗节点：把攻击流量引流到高防节点，清洗掉恶意流量，干净流量再回源。清洗能力（如单点 1Tbps）决定扛得住多大流量。
2. 传输层（L4）：SYN Flood、连接耗尽 → 边缘防护 + 连接层清洗用海量半连接、畸形 TCP 连接占满服务器资源。应对靠边缘节点做连接层清洗：在节点侧拦截未完成的连接、异常包，别让它们打进源站。同时要隐藏源站 IP，否则攻击直接打真身。
3. 应用层（L7）：HTTP Flood、CC 攻击 → 无感人机识别 + WAF用大量看似正常的请求刷爆登录、支付接口，CPU 狂飙、玩家掉线。这是最隐蔽、也最难防的一类 —— 因为请求 "看起来都是真的"。应对靠无感人机识别算法 + WAF：区分真人请求和脚本机器人，把机器请求拦掉，真人几乎无感知。
三、为什么高防 CDN 能 "一揽子" 应对？
因为高防 CDN 是分层防护，从网络层到应用层都有对应手段，不是只靠一种技术：
- 网络层 / 传输层 → 流量清洗 + 边缘防护（扛流量、拦畸形包）；
- 应用层 → WAF + 人机识别（识别假请求）；
- 整体 → 隐藏源站 IP，让攻击够不到业务本体。
以 360CDN 为例，它把这套能力打包成一体：自研军工级清洗（单点最高 1Tbps、整体 10T 储备）、全球 10 + 清洗中心的 AI 兜底抗 D、第二代无感人机识别（100% 无感防 CC）、AI + 规则双引擎的 WAF—— 从流量型到应用型攻击，都有对应的防御层。
四、给你的落地建议
- 先判断你会被打哪一层：游戏、APP 容易被 CC（L7），纯网站也常被 SYN Flood（L4），金融 / 大流量易被打 L3；
- 别只买 "带宽型" 防护：只堆带宽能防 L3/L4，但防不了 CC（L7）——CC 靠识别，不靠带宽；
- 隐藏源站 IP 是底线：无论哪层，源站 IP 暴露，一切防护都打折。
一句话总结
DDoS 按层分：L3/L4 靠流量清洗硬扛，L7（尤其 CC）靠人机识别 + WAF 巧解。 选高防 CDN，别只看 "防多少 G"，要确认它网络层清洗和应用层识别（防 CC）都具备—— 只有分层防护都全，才算真正抗打。