按分钟拆解的应急处置顺序，以及何时该果断迁移。文中数据为区间参考，线路与资源会变，下单前建议用测试 IP 自行复测。

下面把判断依据、实测区间与落地动作拆开讲，涉及 DDoS黑洞 的关键点都给出了可验证的标准。

0–2 分钟

判断攻击类型与被打 IP，先确认是流量型还是连接型。

2–5 分钟

解析切到高防或 CDN，TTL 提前调低到 60 秒。

5–10 分钟

源站只放行清洗节点回源，阻断一切直连。

10–15 分钟

保留访问日志与抓包，评估攻击峰值与持续趋势。

迁移判断

攻击持续 1 小时以上且峰值上涨，直接换 IP 段比硬扛划算。

事后

梳理暴露面，关闭非必要端口，把源站藏到清洗后面。

速查表

常见问题

Q：这些数据与标准多久需要重新核对一次？
线路、清洗资源和价格都会变，建议每季度复测一次；换机房或换供应商时必须重新测，不要沿用旧结论。

Q：按文中的步骤做完，还需要注意什么？
把处理过程和最终生效的参数记下来。同类问题再出现时直接对照记录，比重查一遍快得多。

Q：业务规模小，也要按这套标准来吗？
不需要一次到位。先把影响最大的两项做到位，剩余的随着业务增长逐步补齐，比一开始就追求完美更容易落地。

小结

回到这篇的 6 个环节：0–2 分钟、2–5 分钟、5–10 分钟、10–15 分钟、迁移判断、事后。建议把这次的数据存成基线，下次复测直接对比，判断趋势比看单点更可靠。

相关阅读：TikTok日本小店：节点选择与养号链路、多店铺运营的 IP 分配表怎么做、用户 IP 该怎么脱敏存储。