VPS DDoS 免费额度评测：各平台基础防护能力对比

这篇指南教你如何看懂 VPS（虚拟专用服务器）自带的免费 DDoS（分布式拒绝服务攻击）防护额度，避免被”免费高防”的宣传误导。市面上大多数 VPS 套餐都宣称包含基础防护，但免费额度到底覆盖多大攻击、触发后怎么处理、会不会被限速或停机，不同平台差别很大。本文帮你建立一套可以快速核对的判断框架。

先说结论：所谓免费 DDoS 防护，本质是平台为控制成本而设置的”保底”能力，通常通过流量清洗设备（将攻击流量导向清洗节点后再回注）来实现，覆盖的是中小规模的攻击。真正的硬抗大流量攻击能力，基本要靠付费高防包或专门的 DDoS 防护 IP。免费额度更像是防火墙兜底，而不是进攻型防护。

相关选型与防护话题可参考站内 VPS 虚拟专用服务器分类、技术教程分类，以及一篇针对美国云主机 DDoS 防护能力的厂商对比评测。

一、免费防护到底保护什么

DDoS（分布式拒绝服务攻击）是利用大量被控设备并发发包，耗尽目标服务器的带宽或计算资源，让正常用户无法访问。VPS 平台的免费防护，通常作用在网络层，重点处理以下几类流量：

一是带宽饱和型攻击，例如 UDP（用户数据报协议）放大攻击，攻击者用极小的请求换取服务器大量回包，把入口带宽（机房为单个 IP 提供的最大入向传输速率）打满；二是连接耗尽型攻击，用海量半开连接占满系统连接数；三是应用层请求洪峰，针对 Web 服务的并发请求刷量。免费额度对前两类通常有一定清洗能力，对应用层刷量往往只能做粗粒度的速率限制。

值得提醒的是，免费额度的核心目的不是”帮你扛住大攻击”，而是”保护平台自身不被打挂”。因此当攻击超过阈值时，平台的第一反应往往是限速、黑洞（空路由，丢弃该 IP 所有流量）或封禁，而不会为你增加带宽去硬顶。

二、免费与付费防护的边界典型区间

各平台的免费防护参数并不透明，但从公开条款和社区反馈可以归纳出一个典型区间（示例）：免费额度普遍覆盖单次攻击约 5～20 Gbps 的带宽型攻击，触发清洗后攻击持续期间可能被限速到机房带宽的某个较低档位；一旦超过阈值，平台有权临时阻断（黑洞）该 IP，时长从几分钟到几十分钟不等（示例）。

付费防护则完全不同。高防 IP 或高防套餐会提供明确的防护峰值，例如单机 100 Gbps 或 300 Gbps 的防御能力（示例），并且承诺清洗后业务流量仍能正常回注，不会因为攻击而长时间中断。价格通常随防护峰值上升，这也是”免费额度”与”高防能力”最本质的区别。

另一个关键是”清洗后的回注带宽”。即便免费额度能识别并清洗攻击流量，如果机房总带宽有限，清洗完成后正常业务流量也会被压缩。选购时不要只看标称的防护 Gbps，还要确认机房总带宽与清洗通道是否独立、够用。

三、如何核对套餐的真实防护参数

在对比 VPS 平台时，可以从以下几个维度核对免费防护参数，避免被”默认开启防护”这类笼统表述误导：

第一，看是否写明防护峰值（例如”单 IP 5 Gbps”或”无限制但受带宽限制”），没有明确数字的通常就是”尽力清洗”；第二，看触发清洗后的动作是限速、黑洞还是回注，黑洞意味着业务会中断；第三，看清洗时长上限与每日免费清洗次数，部分平台对超次清洗收费；第四，看是否对特定协议（如 TCP SYN、UDP、ICMP）有差异化策略。

你可以通过控制台查询实时流量与防护状态，多数平台提供类似下方的监控入口，用来观察攻击是否命中清洗。

 # 登录面板后找到"防护/安全"或"流量监控"页签
 # 查看实时入向带宽与丢包情况
 # 若面板显示 "under attack" 状态，说明已触发清洗

四、一套基础防护自测清单

买机器之前，用下面这份四步自测清单快速判断免费防护是否够用。清单里的数字都是估算基准（示例），请以你套餐的实际条款为准。

第一步，确认防护阈值。登录控制台或联系客服，拿到明确的单 IP 防护 Gbps 数值；只有数字而没有说明动作机制的，继续追问。第二步，确认触发后的动作。重点问清是”清洗回注”还是”黑洞”，以及黑洞最长持续多久。第三步，确认回注带宽。问清洗期间正常流量能否正常访问，以及机房总带宽能否承接你的业务峰值。第四步，确认叠加能力。能否在攻击时临时升级或购买高防包，避免攻击升级后直接被打挂。

对于普通建站、测试机和轻量业务，免费额度通常够用；对于承载交易、对外提供接口或面向攻击者的高价值业务，建议直接选择带明确高防 IP 的方案。相关实战思路可参考从 DDoS 防御到备份恢复的实战指南。