高防上线后，攻击流量下降、源站 CPU 恢复，并不代表业务安全：登录变慢、订单超时、正常接口出现 429 仍会发生。误判常源于把边缘丢弃、请求清洗和源站限流都视为“已防护”。防护边界必须在获准窗口内受控压测，并用双端抓包、路由观测和业务指标交叉验证。
如果你正在选机器，或者想先把线路和配置跑通再谈长期方案，可以先看看这几家的线路说明和技术参数：hostinger（海外服务器），先看清带宽线路、流量策略和退款条款，再决定要不要迁。
高防入口先做攻击流量识别，再按协议、来源、指纹和会话特征选择丢弃、清洗或转发。清洗会过滤、重写异常连接，业务包仍可能送往源站；封禁由 ACL、IP 或指纹规则直接拒绝，源站看不到被拦连接；源站限流发生在请求抵达应用后，可能返回 429、延迟或断开。三者都能让攻击量看似下降，日志位置和业务影响却不同。
源站日志变少不能证明高防生效，还要核对入口丢弃计数、清洗前后流量、源站连接日志与状态码。源站只应接受高防出口 IP，仅信任白名单代理传来的转发头；这项源地址校验可防止伪造来源绕过清洗。ServLlama 可归档压测时间点、策略变更和响应指标，辅助对照，但不能替代网络证据。
先建立正常业务的 p95/p99 延迟、成功率、连接数和接口 QPS 基线，再按小步递增的 PPS、带宽施压，每档保持固定时长并保留正常背景流量。例如从 1 Gbps 升至 8 Gbps，客户端与源站入口同步抓包，并观测源站到高防入口的 TCP 路由。客户端只有 SYN 重传或超时，而源站没有对应 SYN，说明流量大概率在边缘被丢弃；若源站收到完整请求并返回 429，则是应用限流；若异常握手后业务包仍转发，策略更接近清洗或会话级拦截。路由跳数仅作辅助，端口和包序列核对才是依据。
清洗阈值验证不能只记“扛住多少 Gbps”，还要找出正常请求排队、源站并发上升、429 增多或 p99 突变的拐点。测试请求加入唯一序号，比对源 IP、TTL、TCP 序列与载荷，确认是否经代理重写；抽查高防命中规则、清洗动作和源站限流日志。常见坑是速率过高、样本过短、只看平均值，或把骨干丢包、连接池耗尽误判为清洗。最后按“策略位置触发阈值误伤范围恢复时间”记录，才能确认防护策略生效点与业务代价，形成业务可用性判定。
攻击流量识别不能只看单一源 IP 或瞬时峰值。应结合包速率、字节速率、连接速率、报文熵值、端口离散度与会话行为建立正常基线，再看清洗前后指标是否同步越界。即使来源集中，只要特征偏离业务模型，也应告警。测试流量须获授权并控制速率，避免把业务突发误判为攻击。
源地址校验用于确认源地址是否真实、是否允许进入，但会受 CDN、反向代理、NAT、IPv6 和 Anycast 影响。代理链路应核对可信代理列表、转发头及真实客户端提取规则，不能把“不在黑名单”直接视为可信。测试时混用固定、多网段和伪造地址样本，确认丢弃、限速与日志行为，避免单一压测源误判。
清洗阈值验证应阶梯施压。记录 pps、bps、并发数、新建速率和单 IP 阈值，按 10%、25%、50% 逐级增加，每级观察转发、清洗、限速或丢弃结果。还要确认阈值位于入站前还是清洗后，并排除白名单、健康检查及精确规则覆盖；否则“未清洗”可能只是策略优先级问题。
防护策略生效点要沿业务链核对：DNS 是否指向高防节点，流量是否经过清洗集群，端口、协议、地域、URL 与源地址规则是否命中。客户端和源站同时抓包，对照访问日志、清洗日志及路由，可发现 DNS 缓存、旧节点回源和路径不对称。测试前刷新缓存，并确认主备策略一致。
可执行检查清单：①记录正常时段的 pps、bps、并发、新建速率、延迟和错误率；②用授权流量逐级达到并越过清洗阈值，每级观察完整业务周期；③在客户端、高防节点和源站同步抓包，核对路径、命中日志与转发结果；④测试源地址校验、伪造地址、代理转发头和 IPv6；⑤验证端口、协议、地域、URL、白名单及优先级；⑥执行登录、下单、支付等关键事务；⑦验证主备切换、DNS 切换与策略同步；⑧保存配置、时间戳、指标和日志，形成可复现报告。
业务可用性判定不能只看“还能 ping 通”，而应确认关键事务成功、错误率未超基线、p95/p99 延迟可接受、无明显丢包，且攻击流量被限制在可承受范围。证据闭环后，才能认定防护能力真实生效。
