一台服务器接入高防IP之后，攻击者打过来的流量会先经过高防节点。但“清洗”这个词说起来简单，实际操作上，高防节点面对的是完全不同类型的攻击，需要用完全不同的方式去处理。
SYN Flood打过来，每秒几十万个伪造源IP的TCP连接请求。CC攻击打过来，每秒几千个看起来完全合法的HTTP请求，每个请求都带着正常的User-Agent和Cookie。这两种攻击在高防节点看来是两件性质完全不同的事，处理它们需要两套独立的机制。
这就是L3/4防护和L7防护的分野。
分层看问题：攻击发生在TCP/IP的哪一层
要理解L3/4和L7的区别，先得回到网络分层模型。
L3是网络层，核心协议是IP。这一层的数据单元是数据包，关键信息是源IP、目的IP、协议类型。L4是传输层，核心协议是TCP和UDP。这一层的数据单元是段(TCP)或数据报(UDP)，关键信息是源端口、目的端口、TCP标志位(SYN、ACK、FIN等)。
L3/4的攻击，打的是连接建立和传输机制本身。攻击者不需要和你的服务器完成一次完整的HTTP对话，他只需要在TCP或UDP层面制造足够的“噪音”或“资源消耗”。
SYN Flood是最典型的L4攻击。攻击者向目标端口发送大量SYN包，但不完成三次握手。服务器的TCP栈为每个半开连接分配资源，等待ACK。当半开连接的数量超过 backlog 队列的上限，新的正常连接就无法建立。UDP Flood则是直接向目标端口发送海量UDP数据包，消耗带宽和处理资源。DNS反射、NTP反射、Memcached反射，本质上都是UDP Flood的变体——攻击者伪造受害者IP向开放服务发起查询，让服务把放大的响应发回给受害者。
L7是应用层，核心协议是HTTP/HTTPS，以及DNS、SMTP等具体应用协议。这一层的数据单元是请求和响应，关键信息是URL、Header、Cookie、Body、请求方法。
L7攻击打的是应用逻辑和服务器资源。CC攻击是最典型的L7攻击。攻击者用大量看起来完全合法的HTTP请求——正常的URL、正常的Header、正常的Cookie——去请求那些消耗服务器资源的页面。搜索接口、数据库查询、动态页面生成，每一个请求都合法，但成千上万个合法请求同时打过来，后端的数据库连接池、CPU、内存就被耗尽了。
从攻击者的视角看，L3/4攻击的门槛更低——他不需要知道你的网站跑的是什么应用，只需要知道IP和端口。L7攻击的门槛更高，需要分析你的应用逻辑，找到最消耗资源的请求路径。但从防御者的视角看，L7攻击的识别难度远高于L3/4。
L3/4清洗：在连接建立之前拦截
L3/4防护的核心逻辑是：在攻击流量到达服务器之前，在网络层和传输层就把它丢弃。
高防节点收到流量后，首先做的是流量基线分析。正常业务流量在一段时间内会呈现相对稳定的特征：每秒新建连接数、每秒数据包数、平均包大小、TCP标志位分布。当某个维度的指标突然偏离基线——比如SYN包的比例从正常的5%飙升到80%，或者UDP流量从几乎为零突然涨到10Gbps——系统触发清洗。
SYN Flood的清洗方式很直接：SYN Cookie。服务器收到SYN包后，不立即分配资源建立半开连接，而是根据源IP、目的IP、端口等信息计算一个加密的Cookie值，作为SYN-ACK的序列号发回去。如果客户端是真实的，它会返回ACK，带着这个Cookie值。服务器验证Cookie有效，才建立连接。伪造源IP的攻击者收不到SYN-ACK，自然不会返回ACK，服务器也就不需要为这些半开连接分配任何资源。
UDP Flood的清洗更偏向特征匹配和速率限制。高防节点识别UDP流量的目的端口和payload特征，如果是已知的反射放大攻击(比如向53端口发DNS查询、向123端口发NTP请求)，直接丢弃。如果是未知的UDP Flood，按源IP做速率限制，超过阈值的包丢弃。
L3/4清洗的一个关键特征是它不需要理解应用层协议。高防节点不知道你在跑什么网站，不需要解析HTTP请求，不需要看URL和Header。它只需要看IP包头和TCP/UDP头，就能做出“放行”还是“丢弃”的判断。这让L3/4清洗的速度极快——硬件加速的清洗设备可以做到线速转发，几十Gbps的流量在几秒内完成过滤。
高防IP的L3/4和L7防护有什么区别？网络层与应用层攻击的清洗差异
L7清洗：在应用层“读懂”请求
L7防护要做的第一件事，是解密。
如果网站跑的是HTTPS，高防节点收到的流量是TLS加密的。要分析HTTP请求的内容，高防节点必须在中间做一次TLS终结——它用自己的证书和客户端建立TLS连接，解密流量，分析HTTP请求，然后再用自己的客户端证书和源站建立新的TLS连接，把清洗后的请求转发回源站。
这个“中间人”角色带来两个问题。第一，性能开销。TLS握手和加解密本身消耗CPU资源，几十万QPS的HTTPS流量在高防节点上做终结，需要大量的计算资源。第二，证书管理。高防节点需要持有你域名的证书，这意味着你要把私钥交给高防服务商，或者配置证书托管。对于有严格密钥管理策略的企业，这是一个需要评估的信任决策。
解密之后，L7清洗开始分析HTTP请求。它看的东西比L3/4多得多：请求的URL路径是否异常、Header是否完整、User-Agent是否可疑、Cookie是否携带了有效的会话标识、请求频率是否超过正常用户的合理范围、请求之间的时间间隔是否呈现机器特征。
CC攻击的识别是L7清洗的核心难题。因为单个请求看起来完全正常。攻击者用的是真实的浏览器指纹、合理的Header、甚至带上了有效的Cookie。区别只在于频率——正常用户一分钟可能请求几个页面，CC攻击的脚本一分钟请求几百次。
L7清洗的应对策略通常是多层叠加的。频率限制是最基础的一层：同一IP、同一Cookie、同一User-Agent在单位时间内的请求数超过阈值，触发验证或拦截。行为分析是更高级的一层：分析请求的时间间隔分布、页面跳转路径、鼠标移动轨迹(如果前端埋了检测脚本)，区分人类行为和机器行为。指纹识别是另一层：检测TLS握手的指纹特征(JA3/JA4)、HTTP/2的帧序列特征，识别出脚本工具和自动化框架。
验证码是L7清洗的最后一道防线。当系统无法确定一个请求是人是机器时，弹出一个验证码。人类用户能通过，自动化脚本通常不能。但验证码对用户体验有影响，不能对所有请求都弹。所以L7清洗的策略通常是：正常流量放行，可疑流量弹验证码，确认恶意的流量直接拦截。
两者不是二选一，而是协同
实际的高防体系里，L3/4和L7是串联的。
流量到达高防节点后，先过L3/4清洗层。这一层处理的是“明显不正常”的流量——SYN Flood、UDP Flood、反射放大攻击、超大包、畸形包。这些流量在L3/4层就被丢弃，不会进入L7层。L3/4清洗的速度快、开销低，把大部分粗颗粒的攻击流量挡在外面，减轻L7层的压力。
通过L3/4清洗的流量，才进入L7层做深度分析。L7层处理的是“看起来正常但实际恶意”的流量——CC攻击、慢速攻击、应用层漏洞利用。L7层的处理速度慢、开销大，但它能识别L3/4层看不出来的攻击。
这种分层架构的意义在于效率。如果所有流量都走L7深度分析，高防节点的CPU会被TLS终结和HTTP解析吃满，正常流量的转发延迟也会增加。L3/4层先把“脏活”干了，L7层只处理需要精细判断的部分，整体效率最高。
另一个维度是防护带宽的分配。L3/4攻击通常以Gbps甚至Tbps计量，需要高防节点有足够的带宽容量去“吸收”这些流量。L7攻击的流量可能不大——几十Mbps的CC攻击就足以打垮一个没有防护的网站——但它消耗的是服务器的CPU和数据库连接数。L3/4防护靠带宽，L7防护靠计算资源和算法。两者的资源模型完全不同。
