源站带宽变大，并不等于攻击流量已经被挡在外面。若流量先经过源站所在网络，链路可能在请求抵达服务器前就被占满。网站遭受流量攻击时的边缘分流方案，核心是把入口移到离用户和攻击流量更近的网络节点，再明确哪些流量要清洗、哪些流量要转发。
要先分清两个动作：清洗是识别并过滤异常流量，转发是把通过处理的流量送往真实业务系统。只做转发，可能只是换了入口；只谈清洗而没有可靠回源，也可能造成正常访问中断。
先判断瓶颈：扩带宽能解决什么
扩充源站带宽适用于正常访问增长，或源站接入能力不足但链路尚未被攻击流量压满的情况。它能提高可承载的流量上限，却不能改变流量先经过哪条链路。遭遇大规模 UDP 洪泛或 TCP SYN 洪泛时，若攻击已占满上游接入容量，单纯扩容服务器端口未必能恢复服务。
边缘分流则改变流量路径：访问先到边缘节点，由其执行流量清洗，再把正常请求转发至源站。它不能保证所有攻击都被识别，也不能替代应用自身的限流、身份校验和故障预案。实际效果取决于攻击类型、服务协议、节点容量及回源链路。
三种入口方式，按条件选择
域名解析切换
把业务域名指向服务商提供的边缘入口，适合主要通过 HTTP 或 HTTPS 提供服务、且可以调整域名解析的场景。部署相对直接，切换也较容易；但解析更新并非所有用户同时生效，且依赖域名链路的业务不一定能用这种方式承载。
路由层分流
由网络服务商通过路由把目标地址段引向清洗中心，适合需保护固定公网地址、或运行非网页协议的业务。它能在更靠前的位置处理流量，但通常要求地址归属、路由授权和服务商支持；启用与撤回都应事先演练，不能把它当作临时改一条服务器配置。
专用隧道或代理转发
部分方案通过隧道或代理把处理后的流量送回源站。选择时要核对支持的协议、连接保持方式、证书管理和回源带宽。若回源通道容量不足，或源站仍允许公众绕过边缘直连，分流效果就会打折。
按步骤落地，避免只切入口不管回源
- 盘点业务入口。列出对外域名、地址、端口和协议，标明哪些服务允许中断、哪些需要优先保障，并确认源站当前带宽与上游接入情况。
- 选择分流路径。以业务协议和地址控制权为依据，在解析切换、路由分流或隧道转发中选择方案；向服务商确认清洗范围、转发能力、告警方式和切换条件。
- 配置源站只接收可信回源。在网络访问控制中限制来源，只允许边缘侧或约定回源通道连接业务端口。否则攻击者仍可能绕过边缘直接访问源站。
- 验证正常请求与异常处置。在低风险时段检查登录、文件下载、API 等真实业务路径，核对边缘处理后是否能正常返回；同时确认告警联系人、切换权限和回退步骤。
- 监控并复盘。分别观察边缘侧清洗量、正常转发量、源站连接数和响应错误。若源站压力仍高，排查应用层请求是否集中触发昂贵操作，而非只继续增加回源带宽。
清洗、转发与负载均衡不能混为一谈
流量清洗关注“哪些请求可放行”；转发关注“放行后送到哪里”；负载均衡关注“如何在多个可用后端之间分配请求”。三者可以组合，但职责不同。只有负载均衡而没有过滤能力，不能阻止攻击流量进入业务；只有清洗而无健康的回源路径，也不能保证服务可用。
还要关注运营商或上游触发的黑洞路由：当目标地址被整体丢弃时，正常用户也可能无法访问。应事先问清何种条件会触发该措施、由谁决定撤销，以及边缘分流能否在流量到达源站网络之前生效。
常见问题
只购买更大的带宽，什么时候仍有用？
在访问增长造成容量不足、且上游链路未被攻击流量堵塞时，扩带宽有帮助；它不能单独解决入口链路被打满的问题。
边缘节点会让访问变慢吗？
可能增加一段转发路径，也可能因节点位置和网络互联改善而降低绕行。应结合目标用户区域、回源距离及实测响应判断，不能仅凭节点数量推断。
切换后为什么源站仍有压力？
常见原因包括源站仍可被直连、清洗规则未覆盖相关协议，或正常请求本身触发了高资源消耗。应分别核对入口访问控制、转发日志和应用资源。
因此，网站遭受流量攻击时的边缘分流方案，不是单纯把流量换个方向，而是把清洗、转发、回源保护和回退流程一起设计。扩充源站带宽可作为容量补充，不能替代攻击流量在边缘处置。
