即使在带宽相对富裕的时代，不少站长仍然在经历过DDoS攻击（DDoS攻击是通过大量合法的请求占用大量网络资源，以达到瘫痪网络的目的），一旦网站被人DDoS攻击后，网站的带宽资源就是被大量挤占，真实用户就会无法有效访问相关服务，严重影响客户们的访问及使用。

如果网站遇到DDoS攻击时，该如何解决呢？相信大家都知道，要靠防火墙（防火墙是位于内网和外网之间的屏障隔离技术）来处理一部分攻击流量。 这是不是就说明防火墙可以防御DDoS呢？其实没有这么简单。

首先，不是有所防火墙都可以有效抵御DDoS攻击。DDoS攻击和其它攻击不同，它本身也算是一种合法的网络请求！

防火墙种类很多，主要有：软件防火墙（软防）、硬件防火墙。这两类防火墙在对待DDoS时的表现也不同。

1、软件防火墙（软防）

我们一般用户都接触过软件防火墙，像Windows上的“防火墙”、Linux上的“iptables”等。从成本上说，软防成本很低。它们以软件的形式时刻检查系统上的所有数据包，然后决定放行哪些数据包或者拦截哪些数据包。

软防在应对小流量DDoS时，可以搞得住。但一旦遇到大流量的DDoS，软防是抗不住的，可以把系统资源消耗尽，服务器直接卡死。

2、硬件防火墙（硬防）

和防软不同，硬防是把防火墙程序做到硬件芯片中，由单独的硬件执行防护功能，减少了CPU的负担，性能上比软防高出很多，当然了，成本也比软防高得多。

综上，不管是软防还是硬防，其原理上都差不多；但是软防是基于系统的，硬防是基于硬件的。在面对稍大的DDoS时，软防基本上是无能为力的，而硬防也不是能抗得住所有的DDoS，不同配置的硬防能承受的DDoS流量不同。假设硬防只能抗住1G的流量，而你的网站受到了2G的DDoS流量，硬防也是白搭！

尽可能减少网站被DDoS的可能，可以考虑以下措施有：

禁用服务器的ICMP响应，这样别人无法通过Ping来判断你的服务器IP是否存活；网站启用CDN来隐藏后端服务器的真实IP，CDN本身也带有一定的抗洪能力。

单独硬防的成本挺高的，企业如果对成本控制有要求的话可以选择墨者.安全的集群防护，防御能力是很不错的。

大部分DDOS都是模拟真实用户数据，防火墙都不一定检测的到，所以中大型站点平台想要保障网络安全，还是接入高防更靠谱。白山云盾提供相关的高防服务，可以关注云盾官网相关内容。