高防服务器的报价里常常有两个都叫带宽的数字。一个是业务带宽，一个是 DDoS 清洗容量。业务带宽是用户平时能用的速率，例如 50M、100M。清洗容量是攻击流量进来时，机房声称可以挡住的规模，例如几十 G 到上百 G。把清洗容量理解成平时也能跑那么大的业务，会在两个方向上都买错：平时速度没有那么快，真遇到攻击时，防护策略却可能没有按业务端口生效。
香港高防、BGP 高防这一类产品，适合网站、接口或游戏确实会遭到流量型攻击的时候。独立服务器挂在高防线路后面，是比较常见的组合：源站地址不直接暴露，业务从高防入口进来。云服务器也可以做源站，但要确认攻击流量是在高防入口被丢掉，而不是先打进云主机再靠安全组去挡。安全组挡不住已经堆到网卡上的大流量。物理服务器的网卡同样如此。清洗如果发生在流量已经到达机器之后，业务带宽会被打满，真实用户和攻击一起进不来。
平时测的是业务带宽，不是清洗容量
业务带宽按正常访客估算。页面、接口和后台运维各自留出峰值，并区分独享带宽和共享。清洗容量按要挡住的攻击量级估算，它不参与日常测速。日常测速打满的是业务带宽。如果供应商用清洗容量的数字来证明这台高防服务器很快，那份证明与用户体验无关。用户体验仍取决于业务带宽、线路方向，以及清洗时是否误伤正常请求。美国服务器或日本服务器上的高防也一样：防护规模不能代替该城市到用户的路径。
清洗不是一条免费的透明管道。流量经过清洗中心时，路径会变长，延迟通常比直连略高。策略过严时，正常用户的连接会被当成攻击丢掉，表现为网站能 ping 通，页面却间歇打不开。策略过松时，攻击仍会漏到源站，源站的业务带宽被打满，真实用户一样进不来。所以验收要看两件事：没有攻击时，从主要用户网络访问的延迟和丢包；复盘真实攻击或做约定范围内的演练时，正常请求是否还在，源站网卡是否仍然空闲。
高防只保护该暴露的入口
高防也不该默认套在所有机器上。数据库、内网同步和只对办公网开放的后台，更适合限制来源，而不是买很大的清洗容量。对外的站点、下载和游戏入口才需要把入口交给高防。一台独立服务器如果既跑数据库又直接暴露在公网，攻击来时数据库会和网站一起被拖死。把入口和数据拆开，高防只保护入口，业务带宽只按入口的日常流量购买。云服务器如果只是内部调用，不必为了和网站看起来一样而套上同一套高防。
和普通香港服务器相比，高防服务器多付的费用主要买在清洗和隐藏源站，不自动包含更优质的回国路径，也不自动变成大带宽服务器。需要大陆用户在晚高峰仍然稳定时，还要单独确认高防入口背后是 CN2 GIA 一类优化线路，还是普通国际带宽。只看防护 100G 这一个数字，无法回答用户从哪里来、平时有多少兆可用、攻击时正常访问还在不在。服务器租用合同里应把这两个数字写成两行，避免验收时各说各的带宽。
源站隐藏要落实到地址和防火策略，而不是只在介绍里写一句。业务域名只解析到高防入口。源站地址不出现在页面、邮件和证书透明度能轻易对上的历史上。工作人员从办公网或堡垒机进入源站，不把管理端口开在公网业务地址上。否则攻击者绕过清洗，直接把业务带宽打满，高防看起来仍然在线。独立服务器的管理口和业务口分开，是这条策略里最容易漏掉的一步。
攻击过去之后要核对两件事后账。一是业务带宽有没有在清洗期间被打满，源站网卡的空闲是否和介绍一致。二是正常用户的超时是否集中在某几家运营商，那往往是清洗策略误伤，而不是端口不够。误伤要改策略，端口不够才升业务带宽。不要在复盘里用清洗容量的数字解释平时的打开速度，也不要把高防服务器当成大带宽服务器的替代品。游戏、网站和下载如果共用一个入口，攻击时会一起不可用，入口应按业务拆开。
采购时把三行写进说明：业务带宽的独享速率和方向，清洗容量的量级和是否隐藏源站，清洗开启后由谁确认正常用户没有被误拦。这三行写完，高防服务器才从一条广告变成一套可以验收的线路方案。业务带宽决定平时快慢，清洗容量决定攻击来时入口还在不在。两者都叫带宽，验收时不能互相代替。