云原生架构网站DDoS防护轻量化部署技巧

云原生架构下的DDoS防护，传统硬件清洗设备或者臃肿的WAF集群已经不太适用了。容器化、微服务、动态扩缩容的特性决定了防护手段必须跟着轻量化。轻量化不是削减防御能力，而是把防御能力拆解成云原生的原子能力，嵌入到流量入口的每一个环节。核心思路是：不靠堆硬件，靠策略、靠架构、靠协议层面的极致优化。

在云原生环境中，大量的DDoS攻击已经不是单纯的SYN Flood，而是慢速攻击和TLS层面的耗尽攻击。传统做法是在网关层做TLS卸载，但一旦遭遇TLS重协商攻击，网关CPU瞬间打满。轻量化的解法是把TLS卸载下沉到Sidecar。以Istio为例，每个Pod注入的Envoy代理只处理属于该Pod的TLS连接，攻击流量在到达应用实例前就被分散到成千上万个Sidecar进程中。你不需要一个巨型的硬件卸载卡，每个Sidecar的CPU占用极低，但合起来构成了一个分布式的TLS清洗网格。配置上，限制每个Sidecar的最大并发TLS握手数，超过阈值直接静默丢弃，不响应ClientHello重试。这比在中心化网关做限制有效得多，因为攻击者无法通过单一IP聚集起握手压力。

iptables在流量大的时候性能会急剧下降，规则遍历是O(n)复杂度。云原生节点的内核版本通常较新，直接上eBPF程序挂载到XDP（eXpress Data Path）钩子上。XDP在网卡驱动层处理包，比iptables早好几个阶段。你可以写一段极简的eBPF代码，基于源IP的哈希表做令牌桶限速。比如下面这段逻辑，直接在网卡层面丢弃超过阈值的包，CPU占用几乎可以忽略不计：

struct bucket {
    __u64 tokens;
    __u64 last_time;
};
// 哈希表 key为源IP，value为bucket
// 每次收包检查tokens，不足直接XDP_DROP

这种轻量化部署不需要额外的守护进程，一个eBPF程序编译后只有几十KB，挂载到所有工作节点上。它不依赖应用层转发，延迟在微秒级。对于UDP反射放大攻击，直接在XDP层匹配特征码丢弃，流量根本不会进入协议栈。

云原生微服务之间大量使用gRPC通信，gRPC底层是HTTP/2多路复用。攻击者如果针对gRPC服务发起大量RST_STREAM帧或者PING帧，会导致连接耗尽。轻量化防护不是去解析每一个gRPC请求，而是在连接级别做控制。利用Envoy或者Linkerd的HTTP/2连接管理能力，设置单连接最大并发流数，以及最小PING间隔。一旦某个连接的行为异常，比如PING帧频率超过每秒5次，直接发送GOAWAY帧关闭连接，不影响到同Pod内其他正常连接。这种连接级别的策略下发通过控制面实时更新，无需重启Sidecar。

全局限流容易误伤正常用户，轻量化部署需要在边缘层实现自适应速率限制。做法是在Ingress Controller或者API网关上嵌入一个滑动窗口计数器，但这个计数器不是全局的，而是基于一致性哈希分布到多个网关实例的内存中。每个实例只维护一部分IP的计数，内存占用极小。关键技巧是结合业务优先级：从JWT令牌或者API Key中解析出用户等级，高优先级用户分配独立计数器，低优先级或未认证请求共享一个严格限制的计数器。当节点内存压力大时，优先驱逐未认证请求的计数器数据，保证核心用户的访问不受影响。这种设计把防护粒度细化到了用户级别，而不是简单的IP级别，有效对抗IP伪造之外的资源耗尽型攻击。

针对DNS的DDoS在云原生环境中也很常见，尤其是外部解析入口。CoreDNS作为集群内默认的DNS服务，可以通过插件机制实现轻量化防护。启用ratelimit插件，基于源IP和查询域名组合做限制。更进一步的轻量化手段是DNS Response Rate Limiting（RRL），在CoreDNS中配置每个域名的最大响应速率，对超出的查询返回truncated标志，让客户端通过TCP重试。TCP三次握手天然过滤掉了一部分伪造源IP的攻击。这种防护不需要额外部署DNS防火墙，CoreDNS本身的资源消耗增加不到5%。

很多DDoS攻击并非来自外部，而是来自被攻破的某个微服务。云原生的NetworkPolicy可以实现东西向流量的轻量化隔离。使用Calico或Cilium的NetworkPolicy，只允许特定标签的Pod之间通信。例如，前端Pod只允许访问后端API Pod的特定端口，数据库Pod只接受来自后端API Pod的连接。一旦某个Pod被控制作为肉鸡，它能攻击的目标极其有限。Cilium基于eBPF实现NetworkPolicy，策略执行在内核层面，不影响数据面性能。这种隔离本身就是一种轻量化的分布式防御，把攻击面压缩到最小。

轻量化部署的最后一环是让防护能力随流量弹性伸缩。利用Kubernetes的HPA（水平Pod自动扩缩容）和自定义指标，将清洗组件也作为一等公民纳入扩缩容体系。比如，当Envoy的TLS握手失败率超过阈值，或者XDP程序的丢包率上升时，自动扩容清洗Pod或者增加节点。这里的关键是清洗组件本身也要轻量，镜像大小控制在10MB以内，启动时间在毫秒级。Scratch基础镜像加静态编译的二进制文件，没有任何运行时依赖。这样在攻击流量突增时，清洗层能在秒级完成扩容，攻击结束后自动缩容，不占用资源。

传统DDoS防护会产生海量日志，存储和传输这些日志本身就是负担。轻量化部署要求只记录必要的遥测数据。利用eBPF直接在核内聚合流量统计，每30秒输出一次摘要数据到指标系统，而不是记录每一条丢弃的包。Sidecar的访问日志只开启错误日志，正常流量不落盘。分布式追踪只在出现异常延迟时采样，平时采样率控制在0.1%。这种精简策略让防护系统本身不会成为新的瓶颈，也不会产生高昂的日志存储成本。

云原生架构下的DDoS防护轻量化，本质是把防护能力从笨重的硬件盒子或者集中式设备中解耦出来，分散到每一个网络跳转点。Sidecar处理TLS，eBPF处理包过滤，CoreDNS处理DNS清洗，NetworkPolicy处理东西向隔离。每个组件都只做一件事，做到极致，资源消耗极低。它们之间通过标准化的控制面协同工作，而不是依赖一个全知全能的中心化清洗设备。这种架构天然适配云原生的弹性、分布式和不可变基础设施特性，防护能力随着集群规模线性扩展，而不是单点瓶颈。攻击者的成本也因此大幅上升，因为他要同时压垮成千上万个轻量级防护点，而不是攻破一个集中式设备。