答案是封死攻击者通往私网的“小路”。公网DDoS打爆私网本质是私网IP被错误暴露于公网路径，导致攻击绕过防护直击后端；解决关键在于收敛暴露面，确保源站仅允许高防/WAF回源流量、清除DNS及代码中私网IP泄露，并强制流量经高防+WAF双层过滤。
公网DDoS攻击打爆私网业务，本质不是“公网打穿了私网”，而是私网业务被错误暴露在公网路径上，导致攻击流量绕过所有防护直击后端。解决的关键不是加固私网，而是切断攻击抵达私网的通路。
核心问题：私网IP不该出现在公网可达路径中
很多团队误以为“私网地址天然安全”，但现实中，只要源站IP曾被DNS解析、日志泄露、配置错误或第三方服务暴露，攻击者就能精准定位并直打。一旦攻击流量抵达私网服务器，无论带宽多大、配置多高，都极易因连接表溢出、CPU满载或进程崩溃而瘫痪——因为私网设备通常未部署任何抗D能力。
必须收敛暴露面：从源头堵死直连可能
所有对外提供服务的业务，无论前端用的是高防IP、高防CDN还是WAF，都必须确保源站（即私网服务器）完全不可被公网直接访问。具体操作包括：
- 关闭源站所有公网网卡或防火墙策略，只允许来自高防/WAF出口IP段的入向流量（如阿里云高防出口IP列表、腾讯云WAF回源IP段）
- 禁用源站的SNAT或默认路由，避免其主动向外发起请求时暴露自身IP
- 检查所有DNS记录（包括历史TXT、CNAME、A记录），清除任何指向私网IP的残留解析
- 禁止在API文档、前端JS、错误页面、监控埋点等位置硬编码或泄露私网IP
强制流量经由高防+WAF双层过滤
仅靠单层防护容易被绕过。正确链路必须是：用户→高防IP（清洗大流量）→WAF（识别CC/SQLi等应用层攻击）→源站（私网IP）。其中：
- 高防IP负责承接全部公网入口流量，隐藏真实源站IP，并清洗SYN Flood、UDP Flood等网络层攻击
- WAF必须配置为“云模式-CNAME接入”或“云模式-ELB接入”，确保所有HTTP(S)请求先过WAF检测，再转发至私网源站
- 严禁将高防IP直接CNAME到源站域名，否则WAF形同虚设；也严禁将WAF回源地址设为公网IP，否则等于重新暴露
私网侧最小化防御加固
即便做了暴露面收敛，仍需在私网服务器本地做基础兜底：
- 启用内核级SYN Cookie（Linux下sysctl -w net.ipv4.tcp_syncookies=1），缓解SYN Flood冲击
- 限制单IP并发连接数（如iptables -A INPUT -p tcp --dport 80 -m connlimit --connlimit-above 50 -j DROP）
- 关闭不必要的端口和服务（如SSH仅限白名单IP访问，禁用telnet、ftp等明文协议）
- 关键服务（如Nginx）配置request limit和timeout参数，防止慢速攻击拖垮进程
不复杂但容易忽略：防护有效性不取决于你买了多少G清洗能力，而取决于攻击者是否还能找到那条通往私网的“小路”。封死这条路，才是最经济、最可靠的第一道防线。
