攻击流量清洗后业务源站带宽规划，关键不是按攻击期间的总流量配置源站，而是算清清洗后仍会到达源站的正常请求、业务峰值和突发余量。清洗中心承接并过滤流量后，源站的实际压力取决于转发架构、缓存命中情况及业务请求特征；把这些因素混在一起，容易出现带宽不足或长期闲置。
先区分三种带宽，别拿攻击峰值直接扩容
排查时至少要分开看：接入线路承受的清洗前流量、清洗中心转发到源站的回源带宽，以及源站出口带宽。攻击流量可能推高前者，但若清洗有效，后两者未必同步增长。反过来，动态请求、文件下载或缓存未命中增加时，源站仍可能在清洗结束后遇到业务峰值。
对于使用内容分发网络（CDN）的站点，静态资源命中边缘缓存时通常不需要每次回源；登录、查询、个性化页面等动态请求则可能持续占用回源带宽。对不经过缓存的接口，应重点观察请求量和响应大小，而不是只看网页总访问量。
用可复核的数据估算容量
取样要看正常高峰，不只看故障时段
从源站网卡、负载均衡器或云平台监控中读取入向和出向流量，按相同时间间隔对照业务日志。可先收集数周数据，覆盖常规高峰和已知业务活动；若期间发生攻击或故障，单独标注，避免把异常值当成日常基线。使用五分钟粒度便于观察持续峰值，但短时突发仍应另查更细粒度监控。
带宽单位也要统一：文件大小常以字节计，线路速率常以比特每秒计，换算时 1 字节等于 8 比特。估算某时段带宽，可用该时段传输字节数乘以 8，再除以秒数；若只看平均值，可能漏掉短时间内的集中下载和请求突发。
把峰值、余量和计费方式放进同一张表
先取业务正常高峰的持续值，例如多个工作日五分钟采样中的高分位值（如 P95），再结合发布、备份、文件分发等已知任务判断是否需要更高的峰值容量。余量没有适用于所有站点的固定比例：业务波动大、扩容响应慢或突发流量明显时，预留可考虑约 20%–30%；流量平稳且可快速弹性扩容时，可按实际风险调整。还要核对云资源按固定带宽、按流量或按峰值计费的差别，避免把临时上限当成长期采购目标。
| 核算项 | 查看重点 | 常见误区 |
|---|---|---|
| 清洗后回源带宽 | 清洗中心实际转发量及持续峰值 | 照搬攻击入口峰值 |
| 缓存回源 | 缓存命中与未命中、动态请求占比 | 认为接入 CDN 后源站流量归零 |
| 源站出口 | 响应体大小、下载任务和并发连接 | 只看入向流量 |
按步骤形成扩容方案
- 确认流量路径：画出用户、清洗中心、缓存节点、负载均衡器与源站之间的转发关系，确认哪些请求会回源。
- 分开取数：同时记录清洗前流量、清洗后回源带宽、源站入出向速率和业务请求量，并标记攻击及维护时段。
- 计算业务容量：以正常高峰为基线，结合响应大小、并发和已知任务估算所需带宽；用统一单位复核计算结果。
- 核对瓶颈与费用：检查网卡、实例规格、负载均衡器、专线或云带宽上限，并比较固定带宽与按流量计费的成本特点。
- 分阶段调整：先设置监控告警和可回退的容量调整，再观察完整业务周期；若源站仍拥塞，进一步定位应用处理能力，而非只增加带宽。
例如，假设一个服务清洗后的正常高峰约为 120 Mbps，业务评估决定预留 25% 余量，则初步容量约为 150 Mbps。这个数字仅说明计算方式，不是通用配置建议；若高峰持续时间、流量方向、计费规则或业务增长预期不同，规划结果也应随之调整。
常见问题
清洗后源站带宽一定会下降吗？
不一定。恶意流量被过滤后通常会减少无效请求，但正常业务增长、动态请求增加或缓存命中下降，仍可能推高源站流量。
应该按平均带宽还是峰值带宽采购？
平均值适合观察长期利用率，采购和告警还要考虑持续峰值及短时突发。按业务风险和扩容速度设置余量，不宜只用单一平均值决策。
攻击结束后还要保留高带宽吗？
先确认清洗后回源流量和业务需求是否恢复，再依据历史峰值、后续活动与计费方式调整。避免因一次攻击长期保留明显过高的容量。
归根结底，攻击流量清洗后业务源站带宽规划要以清洗后的真实回源数据为依据，同时把正常峰值、缓存策略、源站出口和扩容成本纳入评估，才能兼顾稳定性与预算。
