越来越多的公司正在选用基于云的 ddos 防护措施（例如巨牛科技高防ip），并将其替换传统的 ddos 高防服务器.对巨牛科技客户来说，尽管如此，仍有许多的原因可能使您想要保留您的 ddos 香港高防服务器.

　　一、ddos 云端保护方案的兴起

　　越来越多的公司正在架设基于云的 ddos 缓解服务（巨牛科技高防ip等）.事实上，估计到 2021 年，基于云的缓解服务将占 ddos 保护支出的 70%.

　　选用基于云的保护的的原因越来越多.首先，是水平.跟着 ddos 流量攻击不断扩大，能够使进站通信管道饱和的大容量 ddos 流量攻击变得越来越普遍.因此，具备大规模的基于云的清洗水平来吸收这种流量攻击是必不可少的.

　　此外，基于云的 ddos 防护是按照现买现用的 saas 订阅模式购买的，因此公司可以快速扩大或缩小，而且不需要提前分配大量资本支出(capex).例如巨牛科技高防ip，你只需修改dns设定就可以快速获得防护水平，并在需要时快速无缝提升防护水平.此外，云服务通常比本地设备提供更非常容易的管理和更低的开销，而且不需要专职人员来管理.

　　因此，越来越多的公司正在寻求云端的 ddos 保护.然而，尽管云端 ddos 保护有诸多益处，但仍然有越来越多核心的原因使得公司仍然希看选用高防服务器来维护在线业务服务.

　　2、双向流量可见性

　　依据定义，基于云的服务仅提供对公司中进口或进站流量的可见性.他们检查流量到达原点时的流量，并清除它识别出的恶意流量.虽然这对于大多数种类的 ddos 流量攻击来说都是完美的，但是某些种类的 ddos 流量攻击需要能够查看两个流量信道才能被检测和缓解.

　　需要查看出口流量以便检测的流量攻击示例包括：

　　•状态外协议流量攻击：这些流量攻击利用协议通信过程中的弱点(例如 tcp 的1次握手)来创建耗尽服务器资源的 “状态外” 连接请求.虽然这种种类的流量攻击(例如 syn 泛洪)可以仅根据对进口流量的可见性来缓解，但其他种类的状态外 ddos 流量攻击(例如 ack 泛洪)也需要对出站信道的可见性.将需要对出口信道的可见性来检测这些 ack 反应与合法的 syn / ack 反应无关，因此可以被阻止.

　　•反射 / 放大流量攻击：这些流量攻击利用某些协议或请求种类的非对称性，以便发动将耗尽服务器资源或使出站通信信道饱和的流量攻击.此类流量攻击的一个示例是大型文件下载流量攻击.在这种情况下，需要对出口信道的可见性来检测从网络流出的出站流量的尖峰.

　　•扫描流量攻击：此类流量攻击经常出现 ddos 流量攻击的标志，因为它们会在网络中出现大量错误的连接请求.此类扫描经常会产生大量错误回复，这可能会堵塞出站通道.同样，需要对出站流量的可见性来识别相对于合法进站流量的错误反应率，以便防护可以断定正在发生流量攻击.

　　1、运用层保护

　　同样，依赖基于场所的设备对运用层(l7)ddos 保护和 ssl 处理具备一定的优点.某些种类的运用层(l7)ddos 流量攻击利用已知的协议弱点，以生成大量耗尽服务器资源的伪造运用请求.这种流量攻击的示例是低速和慢速流量攻击或运用层 syn 泛洪，它们抽取 tcp 和 http 连接以持续消耗服务器资源.

　　同样，尽管云清理服务可以减轻某些此类流量攻击，但减轻某些种类的流量攻击需要运用程序状态感知，即基于云的缓解服务通常不具备这些作用.使用具备运用层 ddos 保护作用的巨牛科技 ddos 香港高防服务器，允许公司有着此作用.

　　4、ssl ddos 保护

　　此外，ssl 加密增加了另一层复杂性，因为加密层使得难以检查流量内容以查找恶意流量.为了检查流量内容，基于云的服务需要解密所有流量，检查它，清除不良流量并重新加密，然后再将其转发给客户来源.

　　因此，大多数基于云的 ddos 缓解服务根本不为基于 ssl 的流量提供保护，或者使用全代理 ssl 卸载，这要求客户将其证书上载到服务提供商的云基础框架.

　　但是，在云中执行彻底 ssl 卸载通常是一个繁重的过程，会增加客户通信的延时并侵犯客户隐私.这就是为什么许多公司犹豫不决 - 或者没有水平 - 与第1方云服务提供商共享他们的 ssl 密钥.

　　同样，架设基于场所的设备(例如香港高防服务器)允许公司在内部保留 ssl 证书的同时防止 ssl ddos 泛滥.

　　5、分层保护

　　最后，将基于场所的硬件设备与云服务整合使用，可以在流量攻击流量以某种方式根据云保护的情况下完成分层保护.

　　使用香港高防服务器允许公司直接根据设备配置和管理开展控制.虽然许多公司更喜欢由基于云的托管服务来处理，但是一些公司(以及一些安全性管理员)更喜欢具备更深层次的控制.

　　此控件还允许安全性策略粒度，以便可以依据公司的需要准确调整安全性策略，并涵盖云层未涵盖或不可涵盖的流量攻击媒介.最后，这允许安全性故障迁移，因此如果恶意流量以某种方式根据云缓解，设备将处理它.