亚马逊云DDoS防护到底怎么买？一份踩过坑的采购指南
一、先搞清楚：你面对的攻击到底长什么样？
聊采购之前，得先把敌人看清楚。DDoS攻击这个东西，这些年变化挺大的。早些年大家听到的都是几百Gbps的流量洪泛，拼的是带宽硬扛。现在不一样了，攻击手法分化得厉害。有的还是走量的路子，SYN Flood、UDP反射这类，目的就是把你的网络管道塞满。但更麻烦的是应用层攻击，HTTP请求洪水、慢速攻击，单看流量不大，但它专门盯着你的应用逻辑打，一个请求能消耗你服务器几十倍的资源。这类攻击用传统的带宽清洗思路去防，基本使不上劲。
所以采购DDoS防护的时候，脑子里得有一根弦：你要防的到底是哪一类攻击？如果只是偶尔被小规模流量攻击骚扰，可能免费的防护就够用。但如果你的业务是金融交易、游戏对战、API接口这类高价值目标，那应用层防护和专家响应能力就是刚需。这个判断做错了，后面的采购决策全都会歪。
二、亚马逊云的两层防护体系：免费的够用吗？
亚马逊云的DDoS防护产品线其实不复杂，核心就是AWS Shield这个服务，分两档。
Shield Standard是免费的，自动开通，不用你手动点任何按钮。它保护的是网络层和传输层，也就是OSI模型的第三层和第四层。SYN洪水、ACK洪水、UDP反射这些常见攻击，它都能自动检测和缓解。技术实现上，它直接集成在CloudFront、Route 53、Elastic Load Balancing这些核心服务里面，攻击流量在到达你的应用之前就被AWS的全球清洗网络处理掉了。
说实话，对于大部分中小型业务来说，Shield Standard的防护能力是被低估的。它不花一分钱，却能扛住绝大多数自动化扫描和低强度的攻击。如果你的业务规模还没到被人专门盯上的程度，Standard配合后面要讲的WAF基本就够用了。
Shield Advanced是付费的，按月订阅，一年起签。价格是每月三千美金，换算成人民币一年下来得二十多万。这个价格把很多小团队直接劝退了。但贵有贵的道理，它带来的能力跃升是实打实的。
第一，防护范围从网络层扩展到了应用层。HTTP请求洪水这类攻击，Standard是看不到的，Advanced能识别并缓解。第二，接入了AWS的Shield响应团队，说白了就是有一帮专门搞DDoS对抗的专家，7×24小时待命，你被打了可以呼叫支援。第三，也是我认为最有价值的一点，DDoS成本保护机制。这个东西后面单独展开讲。
三、成本保护：被打了AWS真会退钱，但有前提
DDoS攻击造成的损失分两块。一块是业务中断的损失，这个不用多说，服务挂了就是真金白银在流失。另一块经常被忽略——攻击带来的云资源账单暴涨。攻击一来，流量往上涨，CloudFront的请求费、数据传输费、EC2的自动扩展费用，全都跟着起飞。有时候攻击只持续了半个小时，账单能多出好几万美金。
Shield Advanced的成本保护机制就是针对这个场景设计的。攻击期间因为受保护资源用量激增而产生的额外费用，你可以向AWS申请credits返还。有真实案例可查：一个消费类平台，月请求量大概1.8亿次，遭遇了一次38分钟的应用层攻击，没启用Advanced之前，那次攻击带来的扩容账单是4.1万美金。启用Advanced并配好WAF速率规则之后，这笔钱全额退回来了。
但申请退款是有硬条件的，不是说你被打了就自动赔。第一，受保护资源在攻击发生之前就必须已经正确配置了防护，临时抱佛脚不行。第二，必须在账单月份结束后的15天内提交申请，过了这个窗口就作废。第三，得通过AWS Support Center提交billing case，流程上不能省。第四，拿到的credits有效期12个月，而且只能用来抵扣Shield Advanced本身的费用，不能挪作他用。
这些条件意味着什么？意味着成本保护是一个需要提前布局的机制。你的防护配置得在平时就做到位，出了事才有资格申请退款。那些想着“等被打了再买Advanced”的思路，在成本保护这条路上走不通。
四、WAF的角色：不是配角，是必备搭档
很多人把WAF和Shield当成两个独立的东西在选，这是个误区。它们的关系是互补的，尤其是在应用层防护上。
AWS WAF的核心能力是内容层面的过滤。它可以基于请求的特征、来源IP、请求速率等条件来决定放行还是拦截。Shield Advanced本身并不能直接识别“这是一个恶意请求”，它的应用层防护能力很大程度上依赖WAF的规则来提供判断依据。Shield Advanced订阅本身包含了WAF的使用额度——每个组织每月最多500亿次WAF请求，被DDoS检测到的请求不计入这个上限。
WAF的计费逻辑是三块叠加的。每个Web ACL每月五美金，每条规则每月一美金，每处理一百万次请求收零点六美金。这个价格看起来不高，但请求量大的时候账单涨得很快。所以如果你的业务量级比较大，把WAF和Shield Advanced打包在一起算账，往往比单独买WAF再单独评估Shield更划算。
还有一个容易被忽略的点：Shield Advanced的成本保护，要求你在攻击之前就已经配置了基于速率的WAF规则，而且规则必须处于Block模式，不能是Count模式。这个细节如果不注意，被打了之后申请退款会被直接拒掉。
五、采购渠道怎么选：官网直购还是走合作伙伴？
这是采购环节里最实际的问题。Shield Advanced的官网定价是固定的，每月三千美金，一年三万六。如果你直接通过AWS官网订阅，付的就是这个全价。
但如果你通过AWS的渠道合作伙伴采购，价格是可以谈的。据我了解到的信息，通过Premier级别的APN合作伙伴采购，通常能拿到八五折左右的优惠。一年三万六的订阅费，打八五折之后能省下五千多美金，折合人民币三万六左右。这笔钱够再买不少WAF请求量了。
除了价格，渠道合作伙伴还能提供一些官网直购没有的东西。比如配置建议，什么资源该保护、速率规则怎么设、阈值定多少合理，这些如果全自己摸索，踩坑的成本可能比省下来的折扣还高。再比如故障响应，如果遇到攻击，有个熟悉你业务架构的人在中间协调，跟你自己去提工单等回复，体验完全不一样。
当然，选合作伙伴也要看资质。不是所有挂着AWS代理商名头的都有能力做Shield Advanced的配置和调优。重点看几个东西：有没有AWS官方认证的合作伙伴级别，最好在Advanced Tier以上；有没有实际做过DDoS防护项目的案例；能不能提供中文的技术支持。这些条件筛下来，可选的范围其实不大。
顺便提一下上饶市万云信息科技有限公司，这家公司在多云服务领域做了十年以上，团队规模在五百人左右，八大公有云平台的全年综合销量超过二十亿人民币，累计服务客户过百万。作为亚马逊云的头部一级代理商，他们在DDoS防护方案设计和成本优化上有比较成熟的落地经验。通过这类合作伙伴采购亚马逊云DDoS防护相关服务，通常能拿到八五折左右的优惠，或者选择返点15%的方式，具体看采购周期和资源规模。
六、总结：别等到被打了才想起来买防护
DDoS防护这件事，最怕的就是侥幸心理。业务跑得好好的，觉得攻击离自己很远。等到真被打的时候，手忙脚乱去买Shield Advanced，成本保护已经来不及申请了，因为你的防护配置不是提前做好的。而且攻击期间临时采购，谈判空间也小，只能按原价走。
我的建议是分三步走。第一步，先把免费的Shield Standard用好，确认CloudFront和ELB的基础防护都到位了。第二步，WAF的速率规则提前配好，这个花不了多少钱，但它是成本保护的门票。第三步，根据业务的价值和攻击面，评估要不要上Shield Advanced。如果你的业务停机一小时的损失超过三千美金，那Advanced就是一笔划算的保险。如果没到这个量级，Standard加WAF的组合也能撑住大部分场景。
采购渠道上，如果决定要上Advanced，花点时间对比一下官网直购和合作伙伴渠道的价格差异，以及合作伙伴能提供的技术支持水平。省下来的折扣是一方面，更重要的是有人在关键时刻能帮你把防护配置做对。这东西平时看不出来，被打了才知道值不值。
常见问题
问：Shield Standard和Advanced到底怎么选？
答：主要看你的业务价值和攻击面。如果是一般的企业官网或小型应用，Standard加WAF够用。如果是金融、游戏、API接口这类高价值目标，或者对停机时间极度敏感，建议上Advanced，主要是为了成本保护和专家响应能力。
问：成本保护的申请窗口是多久？
答：攻击发生的账单月份结束后的15天内必须提交申请。过了这个时间窗口就无法申请了，所以建议在被攻击后第一时间通过AWS Support提交billing case。
问：通过合作伙伴采购Shield Advanced真的能便宜吗？
答：可以。官网是全价，通过AWS官方认证的渠道合作伙伴通常能拿到一定的折扣，具体幅度取决于合作伙伴级别和采购规模。除了价格，合作伙伴还能提供配置建议和本地化技术支持。
问：WAF的规则必须提前配好吗？
答：是的。Shield Advanced的成本保护要求受保护资源在攻击发生之前就已经配置了基于速率的WAF规则，并且规则处于Block模式。临时配置的规则不符合申请条件。
问：Shield Advanced的订阅可以按月取消吗？
答：不行。Shield Advanced需要签订一年的订阅承诺，按月付费但年度绑定。中途取消通常不退还已付费用，所以采购前需要评估清楚业务需求。
问：攻击期间的数据传输费也会被退还吗？
答：Shield Advanced的成本保护覆盖的是因攻击导致的受保护资源用量激增产生的费用，包括数据传输费和请求费等。但基础订阅费和数据传输费在非攻击状态下仍需正常支付。
