概述
DDoS 的代价取决于准备程度。攻击发生时才临时配置清洗和联系上游，往往来不及。平时就测清吸收上限、在源站前配置缓存与限流、演练响应并用模拟验证源站负载，并预先商定升级阈值与客户沟通模板，可把危机变为可执行流程。
关键步骤
- 测量当前容量与防护上游的上限。
- 在源站前配置缓存、限流与清洗。
- 用负载或攻击模拟演练响应。
- 商定升级阈值与客户沟通模板。
验证
- 模拟中源站流量保持在容量内。
- 值班团队在目标时间内执行完运行手册。
- 攻击特征被前置过滤。
- 沟通模板可直接启用。
决策点
应吸收合法流量并只丢弃攻击特征，无差别丢弃会打断真实用户；应在阈值触发时即发出沟通，迟到会放大声誉损失。
适用范围
本条目围绕「DDoS 就绪工作流」给出可复制的步骤、验证方式与常见问题，适合需要按此流程落地的工程团队。执行时请结合自身上下文调整命令与阈值，并在变更前后留存证据，便于后续复核与回滚。
# simulate with a bounded load test against a canary
k6 run --vus 50 --duration 2m attack-sim.js
# watch origin 5xx and connection counts, not only edge status