海外访问突然变慢、连接超时，未必只是源站性能不足。面对分布在不同地区的流量，面向国际业务的主机DDoS防护配置应同时考虑攻击规模、协议类型和上游网络能力；只在服务器上加防火墙，无法解决已经挤满接入链路的流量洪泛。
1. 先设流量基线与告警阈值
记录正常时段的带宽、每秒新建连接数、并发连接数和主要服务端口流量，并区分工作日、业务高峰和维护时段。阈值不宜照搬其他主机：可先用历史峰值设提醒，再根据误报情况调整。例如，流量持续高于近期同一时段常态的约两倍时触发观察告警，可作为初始参考，而非通用标准。还应对照主机规格和线路带宽设置硬性告警。
2. 确认上游清洗能力与触发方式
向主机或网络服务商确认防护是否覆盖当前公网地址、支持哪些协议、清洗由自动还是人工触发，以及攻击期间是否可能被临时封禁。大流量攻击若超过接入链路容量，主机上的规则来不及处理，应依赖上游流量清洗或具备防护能力的 CDN。Anycast 可将请求引入多个网络入口，但实际效果取决于服务商覆盖、路由和攻击类型，不能仅凭名称判断。
核对清洗策略对正常访问的影响：挑战验证、限速或封禁规则可能误伤共享出口后的用户。面向国际业务的主机DDoS防护配置，应明确谁能联系服务商、需要提供哪些日志，以及切换或解除策略的流程。
3. 收紧主机入口与管理面
在云防火墙或主机防火墙中，只开放业务实际需要的端口；SSH、远程桌面等管理入口优先限制到固定管理网络或经批准的访问通道，避免直接向全网开放。删除停用服务的监听端口，管理账号启用密钥或多因素验证，并为防护规则保留变更记录。规则调整后，从业务实际使用的网络验证访问，避免因地域策略误封合法用户。
4. 对应用层请求设置边界
网络层流量看似正常时，攻击也可能集中消耗应用资源。可在 Web 服务器、负载均衡器或 WAF 上，为登录、搜索、查询等高成本接口设置并发或请求频率限制；静态内容则可通过 CDN 缓存，减少源站重复处理。限速值应依据正常峰值、接口耗时和用户行为逐步校准，并对白名单、健康检查和必要的接口调用设置例外，避免把真实业务一并挡住。
5. 做好监控、演练与恢复
监控带宽、连接数、错误率、响应时间、主机资源及防护事件，设置通知联系人和升级顺序。发生异常时，先确认影响范围和时间，再保存防火墙、Web 访问及服务商告警日志；按预案启用清洗、调整限速或临时关闭非必要功能。处置后检查误拦、服务恢复和规则回滚条件。面向国际业务的主机DDoS防护配置还应写明值班人、服务商工单入口和恢复确认方法，并定期演练。
配置核对清单
- 用实际业务时段建立带宽、连接数和错误率基线。
- 书面确认上游防护范围、触发流程和可能的封禁影响。
- 逐项核对开放端口、管理入口和不再使用的服务。
- 针对高成本接口测试限速，对静态内容评估 CDN 缓存。
- 检查告警是否有人接收，并演练联系服务商和恢复服务。
常见问题
主机防火墙能挡住大流量攻击吗？
不能保证。若流量已占满主机接入线路，主机规则无法恢复线路容量，需要由上游网络或清洗服务处理。
用了 CDN 就不需要主机防护了吗？
不是。CDN 可分担部分面向 Web 的请求，但源站地址暴露、非 Web 服务及应用配置仍需单独保护。
告警阈值应该设成多少？
没有适用于所有业务的固定值。先采集自身基线，再结合带宽上限、业务峰值和误报情况调整，并通过告警测试确认通知可达。
把上游能力、主机入口和应用限流分别落实，面向国际业务的主机DDoS防护配置才不只是规则清单，而是可验证、可执行的应急方案。