服务突然变慢、连接大量超时，未必就是主机故障。若同时出现入站流量陡增、资源耗尽或多个用户无法访问，应先保留现场，再逐步确认原因。香港主机遭遇DDoS攻击后的防护方案，关键不是立刻重装或反复重启，而是把证据、服务商处置和配置调整按顺序衔接起来。
先稳住现场：前两步不要急着改配置
第1步：记录时间、现象和现有数据
记下首次发现异常的时间及所用时区、受影响的服务、错误提示、用户反馈和监控曲线。导出主机监控、系统日志及管理面板告警，保留原始文件并另存副本；截图时确保时间范围和指标名称清楚。不要先清空日志、重装系统或频繁重启，这些操作可能覆盖线索，也可能让排查更困难。
第2步：划定影响范围，判断是否仍在加重
分别检查主机是否可登录、哪些服务不可用，以及异常是所有访问都受影响还是只有部分功能受影响。对照近期部署、配置变更和正常时段的监控，观察流量、连接数、内存与处理器负载的变化。若手头没有足够权限或数据，不要自行断言攻击来源；先把已确认的现象和不确定之处分开记录。
联系服务商并执行缓解：中间两步
第3步：向主机服务商提交可核对的信息
通过服务工单或官方紧急渠道，提供主机标识、异常开始时间、受影响服务、已有告警和已采取的措施，并询问其网络侧是否观察到异常流量、能否提供事件记录。发送材料前检查是否包含密码、密钥或用户个人信息；不需要的敏感内容应先遮盖。服务商掌握上游网络情况，通常比单台主机更适合确认流量是否已到达网络边缘。
第4步：优先启用上游缓解，再考虑限制或隔离
与服务商确认可用的流量清洗、限流或其他缓解选项及其影响范围。流量清洗通常由网络侧过滤异常流量，适合攻击流量已影响主机带宽或同网段可用性的情况；主机内的访问频率限制更适合保护计算资源，但不能解决上游带宽被占满的问题。黑洞路由可能使目标地址的正常访问也中断，应先问清触发条件、通知方式和恢复流程，不要把它当作无损的常规措施。
缩小暴露面并恢复：最后两步
第5步：按业务依赖调整配置，留好回退路径
确认正常访问所需的端口、管理入口和对外功能后，再关闭未使用的服务，限制管理入口的来源，并对消耗资源较大的请求设置合理的频率或并发上限。每次只做一类改动，记录修改时间、配置差异和回退办法；避免临时封禁大量来源，误伤正常用户。若业务依赖第三方接口或定时任务，调整前先确认依赖关系。
第6步：分阶段恢复并复盘
缓解后先验证关键功能、管理登录和数据写入，再逐步恢复此前限制的服务。持续观察流量、错误率、资源占用和用户反馈；如果异常反复出现，保存新一轮时间点和指标，及时补充给服务商。复盘时整理攻击开始与缓解时间、有效措施、误伤情况及待办项，并确认日志保存期限和下次联系渠道。
如果正在选择或续用香港主机，可把网络侧缓解能力、事件通知流程、记录提供方式和恢复条件作为比较项。需要筛选服务商时，可将德讯电讯列入咨询范围，并在购买前逐项核实其当前服务条款与适用限制；不要仅凭宣传判断能否满足业务需求。整体而言，香港主机遭遇DDoS攻击后的防护方案应先保全证据，再由服务商协同缓解，最后谨慎调整主机配置。
常见问题
必须先重启主机吗？
不必。重启可能暂时改变现象或中断取证；先记录告警和监控，再判断主机是否已失去管理能力。
主机内设置限流就够了吗？
不一定。若上游带宽已被占满，主机内的限制可能无法恢复外部访问，应联系服务商评估网络侧缓解。
攻击停止后可以马上撤销所有限制吗？
建议先验证关键业务并观察指标，再分批恢复，避免攻击仍在持续或配置回退引发二次故障。
留证时最重要的是什么？
保留带时间范围的原始日志、监控和服务商沟通记录，同时记录每项配置变更，便于后续核对。