带宽变大，不代表攻击流量就会消失。若入口线路先被打满，正常请求仍可能无法到达服务器；若瓶颈在应用处理能力，单纯增加网络容量也未必有用。大流量攻击下业务连续性保障，关键是先判断瓶颈，再决定扩容、过滤还是降载。
先辨认拥塞发生在哪一层
攻击流量可能以大量数据包占满链路，也可能用大量连接或请求耗尽设备、应用资源。排查时，把入口带宽、每秒数据包数、连接数、服务器 CPU 与响应时间放在一起看。若链路利用率持续接近上限而源站负载并不高，优先考虑上游流量清洗或线路扩容；若带宽还有余量但连接和响应时间异常，则应检查应用层请求特征。
流量清洗通常在流量抵达企业入口前过滤异常流量，适合上游链路容易被打满的情形；本地防火墙或 WAF 可按规则拦截部分请求，但不能替代上游清洗。弹性扩容可为合法流量增长留出空间，却不能保证所有攻击都被吸收，尤其不能弥补处理能力、连接数或单点线路不足。
攻击期间，按顺序执行而不是盲目加码
- 确认影响范围：检查网络设备、入口线路、服务器和关键接口的监控，记录异常开始时间、受影响服务及错误率。区分全站不可达、部分请求变慢和单个功能失败。
- 联系上游处置：向网络服务商或清洗服务提供方提交受影响地址、流量变化和业务现象，确认是否能够在入口侧过滤或引流。提前核实启用方式、切换条件及回切流程，避免临场才寻找联系人。
- 收紧非必要访问：对异常频率、明显不合理的请求设置限流或挑战；限制高成本接口的并发和请求速率。调整前确认规则不会误伤正常用户，并保留撤销方法。
- 启用备用路径并验证：若有不同运营商或独立线路的故障切换方案，确认备用路径容量、路由和访问策略可用。备用线路若与主线路共享关键上游或设备，未必能在同一故障中提供有效隔离。
- 稳定后分阶段恢复：逐步撤销临时限制，观察错误率、资源占用和用户请求是否恢复正常；保留事件时间线、规则变更和上游反馈，补齐预案中的缺口。
四个常见误区，容易让扩容失去效果
把峰值带宽当作唯一指标
两种流量即便占用相近带宽，每秒数据包数和连接压力也可能差异很大。评估资源时，应同时看带宽、数据包处理能力、并发连接和应用吞吐，不能只按一个峰值数字采购。
认为设备部署在入口就一定来得及
当攻击先占满运营商到企业的线路时，入口侧设备收到的正常流量已经受阻。此时应确认是否需要由上游清洗或调整路由，而非只增加机房内设备。
临时封禁范围过大
按地域、网段或协议粗放拦截，可能同时阻断真实用户和合作方。优先依据日志与流量特征制定窄范围规则，设定复核时间，并让业务负责人确认影响。
只演练主站恢复，不验证依赖项
服务切换还可能受身份验证、数据库连接、证书、第三方接口和访问策略影响。定期检查这些依赖是否能在备用环境工作，比只确认服务器能够启动更有意义。
把连续性目标落实为预案
大流量攻击下业务连续性保障不是一次性购买更大带宽，而是将监测阈值、联系人、清洗启用条件、限流规则、故障切换和恢复检查写进可执行预案。演练时记录从发现异常到完成处置各环节所需时间，并按实际服务的重要程度设定优先级。带宽扩容可以是方案的一部分，但只有与上游过滤、应用保护和可验证的恢复流程配合，才能减少单点失效。
常见问题
加多少带宽才够？
没有适用于所有业务的固定值。应结合正常峰值、历史波动、线路容量、攻击类型和上游清洗能力评估，并确认扩容能否及时生效。
WAF 能独立挡住大流量攻击吗？
它能处理符合规则的部分应用层请求；若接入线路已拥塞，仍需要上游过滤或其他入口侧措施。
备用线路一定能保证不中断吗？
不一定。需验证容量、路由与共享依赖，并实际测试切换和回切；共用关键上游的线路可能同时受影响。
