隔壁IP挨打，你的香港服务器为什么也掉线？

10月18日那篇讲的是IPv6：同一份NetScout报告里，IPv6攻击第一次过了1Tbps，新加的入口未必过了原来的防护。那篇说的是"自己多开了一扇门"。

这篇说另一种情况：门你没开，被打的也不是你，但你跟着掉线了。

报告的数字先摆出来。2026年上半年，NetScout在209个国家和地区记到910万次DDoS，比2025年下半年多14%。其中有两项和"没被点名的人"直接相关：一是地毯式轰炸（carpet bombing）的占比从3.97%升到4.54%；二是持续时间在一分钟以内的攻击，占比比2023年下半年差不多翻了一倍。

4.54%看着不大。换算一下，半年就是四十万次上下。而且这类攻击的目标从来不是一个IP，是一整段。

地毯式轰炸打的是网段，不是你

常规DDoS是对着一个目标IP灌流量，机房的检测也是按这个逻辑做的：某个IP的入流量超过阈值，触发清洗，或者直接黑洞。

地毯式轰炸把流量摊开，打一个/24甚至更大的段里的每一个地址。平均到每个IP上可能只有几十兆，哪一个都够不着按IP设的阈值；但这些流量走的是同一条上联，加在一起就把上联打满了。

这时候你看到的现象是：服务器CPU不高，连接数正常，自己IP的流量图平平无奇，但丢包、延迟飙到几百毫秒、SSH一卡一卡的。翻日志翻不出攻击痕迹，因为攻击本来就不是冲你来的。

租独立服务器的人大多在这个处境里。一台机器一个IP，IP是从机房的段里分出来的，同段的其他地址属于别的客户。谁在段里、谁在挨打，你不知道，也管不了。

报告里还有个数字可以一起看：直连路径攻击（不借反射放大、僵尸网络直接打）的占比升到64%，连续第三个半年上涨。直连意味着攻击源头多、来源分散，机房按来源IP封的效果也在打折。

一分钟的攻击，五分钟的监控

另一项是短攻击。一分钟以内结束的攻击占比翻倍，意思是攻击方越来越多地选择打一下就走，隔一会儿再来一下。

这类攻击有个麻烦：很多监控的采样间隔是一分钟，有的是五分钟。一次三十秒的脉冲在图上会被平均掉，看起来只是一个不起眼的小尖。用户反馈"刚才卡了一下"，运维看图说"没问题啊"，两边都没撒谎。

把这两件事放一起看，共同点很清楚：按单IP阈值检测、按分钟级采样看图，这套方法对今天的一部分攻击是失明的。NetScout在报告里给运营商的建议也是这个方向——过滤要更细、更靠近网络边缘。

判断自己是不是被"连坐"

遇到说不清原因的丢包，可以按这个顺序排。

先在服务器上看自己IP的入向流量和连接数。正常，就基本排除是冲你来的。

再从外面几个点mtr到本机，看丢包是从哪一跳开始的。如果到了机房边界那一跳就开始丢，大概率是上联或者整段的问题，不是你这台机器。

然后ping同段的几个地址，比如网关和相邻的IP。一起丢，就不是你一台机器的事。

最后问机房。这一步别省。地毯式轰炸多数是机房先发现的，问一句就有答案，比自己猜半天强。

租之前该问的三个问题

没被点名也会掉线，这件事在合同里体现不出来，得自己开口问。

一，检测是按IP还是按网段。只按IP的，地毯式轰炸基本是漏网的；有按段聚合的，至少能在上联被打满之前反应过来。

二，黑洞怎么执行。有的机房的处置办法是先把整个段黑洞掉，等攻击过去再放。这意味着你会和攻击目标一起下线，而且下线的时间由机房决定。要问清楚黑洞是按IP还是按段、多久解除、解除要不要你提工单。

三，能不能换段，或者要一个独立的段。预算允许的话，独立网段加前置清洗，比在共享段里碰运气稳。

SellBGP的香港服务器在HGC、WTT两个机房。有防护需求的，香港高防服务器走的是Cloudflare高级防护，流量先过Cloudflare的边缘再到机房，攻击流量不会进到你所在的段。已经在用别家机房、短期搬不动的，可以先挂一个香港高防IP，把域名入口先挪到清洗节点后面，这个不要求源站是SellBGP的机器。

最后说一句。那910万次攻击，多数既不大也不长。真正让人头疼的，是打完你才知道挨过打，或者挨打的根本是隔壁。