攻击流量冲高时，先买更多带宽不一定能恢复服务：如果流量已经堵在上游接入链路，业务侧扩容无法消除拥塞；如果峰值主要由恶意请求构成，长期购买更大规格又可能浪费预算。制定防护带宽不足时的攻击峰值扩容预案，关键是分清需要“接住流量”，还是需要“过滤流量”。
先找出瓶颈，再决定扩哪一段
排查时把链路分成运营商接入、云或机房入口、防护平台、业务回源几段，逐一核对可用容量和告警位置。观察入口流量是否接近线路上限、清洗服务是否达到承诺的防护能力，以及清洗后的回源流量是否超过源站承载能力。只有业务服务器空闲，并不能证明网络带宽足够。
估算时可用“正常高峰流量＋预留余量”作为日常容量基线，再与供应商明确的入口容量、清洗能力和回源上限比较。余量要依据历史波动、业务增长和测量周期设定；短时尖峰与持续数小时的流量，对成本和资源安排的影响不同。不要把线路带宽、峰值带宽和清洗能力当成同一个指标。
扩容和弹性清洗，各解决不同问题
| 方案 | 适用情况 | 主要代价与限制 |
|---|---|---|
| 带宽扩容 | 合法访问增长可预测，或链路长期接近上限；流量来源和业务容量基本可控。 | 固定月费通常随配置提高；攻击超过扩容后的链路能力时仍会拥塞。 |
| 弹性清洗 | 流量突发、攻击成分难以预估，且服务商可在入口处转发并过滤异常流量。 | 需核实启用条件、计费口径和切换耗时；清洗后回源链路仍可能成为瓶颈。 |
弹性清洗不等于无限容量。签约前确认防护带宽的计算口径、超额处理方式、清洗中心接入路径，以及是否包含业务回源流量。还要问清启动由谁触发、自动切换的门槛是什么、费用按流量还是按时长计算。涉及黑洞路由等上游处置时，应确认服务商的通知和恢复流程，因为路由被丢弃后，单纯增加业务侧带宽并不能让该地址重新可达。
把预案写成可执行的切换流程
- 建立基线：按固定周期记录正常流量、业务高峰和线路利用率，并标明统计窗口；同时保存清洗前后流量及源站负载。
- 设置分级触发：例如把“持续接近已购入口容量”作为扩容或排查信号，把“流量快速上升且服务商确认可清洗”作为启用弹性清洗的信号。具体阈值应结合线路规格和告警延迟测试，不能照搬通用百分比。
- 明确操作人和授权：写明谁联系运营商或防护服务商、谁批准产生额外费用、谁验证业务恢复；预先准备线路变更、路由切换或平台策略调整所需的信息。
- 验证回源与关键业务：切换后检查清洗后的流量是否能到达源站，并测试登录、下单、查询等核心流程。若回源带宽不足，优先协调回源容量或限制非关键流量。
- 制定退出条件：攻击下降并稳定一段经业务确认的观察时间后，再按服务商流程撤销清洗或恢复常态路由；保留变更记录，复盘流量、持续时间和费用。
用常态容量加应急能力控制成本
预算上，可把峰值带宽拆成两部分：为可预测的日常增长购买基础容量，为难以预估的短时冲击准备按需防护。比较报价时统一统计周期，并把启用费、超额费、最低计费时长及回源成本一并纳入，避免只比较标称单价。对波动较小的业务，固定扩容更容易核算；攻击峰值偶发且跨度较大的场景，弹性清洗通常更便于控制常态支出，但实际是否省钱取决于合同计费方式和触发频率。
常见问题
带宽扩容后，还需要清洗吗？
若只面对可预测的合法流量增长，扩容可能足够；若恶意流量可能压满入口，仍需评估清洗能力，扩容不能替代流量识别与过滤。
攻击发生后再购买弹性清洗来得及吗？
不一定。接入、授权和路由切换都可能耗时，应事先确认开通状态、联系人及启用流程，并与服务商约定可执行的切换方式。
怎样判断扩容还是清洗更合适？
先看流量性质和瓶颈：合法访问持续增长、链路长期吃紧，优先核算扩容；流量突发且疑似攻击，评估入口清洗；若瓶颈在回源侧，则需同时调整回源容量或业务策略。
归根结底，防护带宽不足时的攻击峰值扩容预案要明确链路上限、费用边界、切换责任和退出条件。用固定容量承接可预期的日常需求，用弹性清洗应对难以预测的攻击峰值，才更有机会兼顾可用性与成本。
