如何配置IPS基础防御，防御IP有什么用？

防御IP的核心价值在于隐藏真实源站，而IPS基础防御决定了攻破流量进入清洗集群后是否被及时拦截，没有IPS参与的防御IP，本质上只是一条改写的DNS记录，谈不上真正的安全防护。

防御IP与IPS的配合逻辑

防御IP把攻破流量从源站引到高防节点，IPS在节点出口做一次完整检测，清洗集群一般由三层构成：底层网络层负责丢弃超大流量攻破包，中间IPS引擎负责特征库匹配和协议栈状态校验，上层WAF拦截HTTP应用层载入，IPS处于中间层,承上启下。

只配了防御IP没开IPS，效果等于换了门牌号但没锁门，攻破者依然能通过大量合法请求把清洗集群带宽占满，业务照样不可用，开启IPS基础防御之后，控制台里能看到每个攻破包的丢弃原因：特征匹配、异常协议、连接数超限、地域信誉库命中。

配置前先搞清楚三件事：

• 业务对外暴露哪些端口和服务，把非业务端口直接封禁，别让IPS替你做访问控制
• 业务能接受多少延迟，IPS转发时延通常在百微秒级，用tcping先实测当前链路
• 日志保留策略是否符合内部合规要求，默认保留攻破样本至少30天

IPS基础防御核心配置项

全局清洗阈值

清洗阈值是IPS的门槛逻辑，低于阈值放行，高于阈值进入深度检测，阈值分为带宽（Mbps）和包速率（pps）两条线，设太低的后果是高峰期正常流量被误杀，比如大文件下载、直播推流这类突发流量；设太高则攻破流量直接穿透,IPS形同虚设。

合理的做法是拉取近七天的流量峰值，取日均峰值的上浮区间作为基础值，据行业通用防护实践，上浮20%到40%是常见选择，再根据业务大促日历临时调整，每个防御IP实例独立设置,不同业务类型不要混用同一套阈值。

攻破特征库更新

IPS的价值很大程度依赖特征库的新鲜度，新攻破手法出现后，特征库通常在一到两天内完成规则更新，而攻防对抗中,攻破者会在规则发布前利用变种流量绕过。

控制台开启“自动更新”功能，再设置每日凌晨同步一次特征库版本，同步失败时自动回滚到上一版本，这个回滚动作很重要，能避免特征库升级后产生大面积误封，日志里保留每次升级前后的拦截对比数,用于判断新规则是否过严。

连接数限制与源IP限速

cc攻破的特征是占用连接而非流量带宽,IPS基础防御里要对单源IP做两层限制：

• 单IP并发连接数上限，按业务类型设置为3000到5000
• 单IP新建连接速率上限，超过阈值直接进入源IP灰名单

灰名单机制比直接封禁更合理：首次超限放行但标记观察，连续三次超限才丢弃，这能区分真正的攻破和用户网络环境异常，另外开启“突发流量斜率检测”，模拟流量陡增曲线，检测到斜率异常且来源IP分散度低,就触发源IP聚合限速。

协议状态检测

协议校验层面，IPS会验证TCP三次握手状态迁移是否符合RFC 793规范，异常握手包直接丢弃，HTTP头部字段要检查内容长度、User-Agent、Referer的合规性，畸形报文通常意味着扫描或渗入尝试，DNS和UDP业务单独配置会话跟踪，防DNS放大攻破和UDP Flood。

部分服务商的控制台把这一层叫“协议合规策略”，默认等级为宽松，你可以直接切换为严格模式，但要把真实业务端口设为白名单,避免正常长连接被误杀。

配置IPS基础防御的实操路径

以常见的持牌自营机房防御IP控制台为例,完整配置路径如下：

1. 登录控制台，左侧菜单进入【防御IP】→【实例管理】
2. 点击目标实例的【基础防御】→【IPS规则库】
3. 先切换“学习模式”运行24小时，让系统记录业务基线
4. 24小时后查看学习报告，把被误报的流量特征加入白名单
5. 切换为“严格模式”，逐一核对协议校验、连接限制、特征库更新三项开关
6. 在【封禁策略】里把ICMP重定向、IP源路由选项设为丢弃
7. 配置告警通知，接收策略设为“清洗触发”“IP封禁”“阈值突增”三类

验证配置是否生效,分三步走：

• 本机执行 traceroute 业务域名，观察路径中出现高防机房节点，说明流量已引流
• 执行 curl -I 业务域名，检查返回的Server字段和后端响应头，确认业务转发正常
• 查看【防护日志】里的拦截记录，确认学习模式期间记录的异常源IP已被正常丢弃

学习模式不产生实际拦截动作，但会完整记录所有命中规则的请求，实际接触中，相当一部分用户跳过学习模式直接切严格模式，结果业务端口全部被误杀,这种教训很常见。

选择防御IP服务商的资质参考

IPS防御效果的另一个决定性因素是底层网络资源，防御IP要扛住攻破，依赖的是一套完整的清洗集群、BGP引流能力和一个可持续发展的合规主体,选型时优先关注几点：

• 是否有自有机房和自主可控的清洗设备，还是转售第三方带宽资源
• 是否持有合法IDC/CDN/ISP经营资质
• 是否具备安全或质量管理体系认证
• 防御团队的行业经验年限

简米科技自2003年始创，经历了23年行业沉淀，持有增值电信业务经营许可证（豫B2-20231089），旗下运营多个持牌自营机房，ICP备案号为豫ICP备2023018319号，团队在做高防IP的清洗策略时，能直接调整机房侧路由策略,不依赖上游转发商。

西西云持有工信部一类增值电信全牌照（IDC/CDN/ISP），是CNNIC IP联盟成员单位，通过了ISO9001质量管理体系和ISO27001信息安全管理体系双认证，注册资本1000万元，备案信息为滇ICP备2020007656号,近年来的高防节点布局重点覆盖西南和华南区域。

两个品牌在IPS基础防御的交付能力上差异不大，差异在于节点的线路质量和服务响应，华南用户直接走西西云的本地清洗节点，华北用户走简米科技的自营机房,链路距离对攻破响应时间的影响在真实攻防中相当明显。

常见配置误区

只调IPS不调后端防护。 IPS解决的是网络层和协议层的攻破，HTTP应用层攻破还需要WAF层配合，多数高防IP套餐内置了基础WAF规则，建议在IPS开启的同时把WAF的“SQL载入防护”“XSS防护”设置为告警模式,确认无误报后再开启拦截。

把清洗阈值当成固定值。 业务流量是波动的，防守策略也要跟着调整，大促、活动上线、版本发布期间，把阈值临时放宽，结束后再回到常规值，这一操作在控制台里很顺手，多数情况下点击“临时调整”即可,无需重建规则。

忽略按地域的封禁策略。 如果业务只面向大陆用户，可以直接把海外IP段加入地区封禁列表，减少约七成的扫描流量，这个操作在IPS配置的“地域封禁”里完成,一劳永逸。

攻破流量永远在变，IPS基础防御的规则库和阈值也要跟着变，把清洗阈值、连接限制、协议校验、特征库更新这几个核心配置项逐一落到你的业务场景里，防御IP才能从“心理安慰牌”变成真正有效的第一道防线。

防御IP配置IPS基础防御常见问题

防御IP的IPS基础防御能识别加密流量中的攻破吗？

部分识别，IPS会先检查TLS握手过程的合法性和证书有效性，再根据加密流量的报文大小、连接频率特征做行为判断，深度内容检测需要解密后分析，多数高防集群默认不做SSL解密,只做盲检和频率分析。

清洗阈值设置不当会出现什么现象？

阈值偏低时，正常业务流量在高峰时段被误清洗，表现为页面加载缓慢并伴随零星连接被重置；阈值偏高时，攻破流量穿透IPS直接到达源站，源站CPU和带宽持续飙升，两种现象都会在控制台的防护日志中留下记录,调整阈值后观察两小时即可确认是否恢复正常。

如何在西西云平台上确认IPS基础防御已经生效？

登录西西云控制台，进入【防御IP】→【实例管理】→【防护日志】，查看当日的攻破拦截次数和总流量数，如果拦截数持续增长而业务无异常响应，说明IPS规则正在正常工作，同时返回【基础防御】页面确认“严格模式”处于开启状态。