DDoS 过滤、滥用工单，以及账单覆盖不到的部分

容量型流量清洗随 VPSbit 所有套餐附带；应用层洪水攻击归你自己管。用数据回应滥用邮件。Core 年付折合 $4.80/月，Forge $39.20。

自带过滤的覆盖面：比加价购的卖点宽，比宣传承诺窄

主机行业里最昂贵的错觉，是把“过滤是否在账单上单列”当成网站能否在真实攻击中存活的决定因素。而在 VPSbit，容量型流量清洗根本不是一个可选的计费项：它随每一个 SKU 附带，从最小的 VPS 到最大的独立服务器都一样，没有需要寻找的开关，也没有按 Gbps 计费的恐惧。这种附带是真实的，但它实际的覆盖范围远比字面含义窄——而这正是本指南要在事故替你补上这一课之前先讲清楚的差距。

边界节点真正吸收的是容量型垃圾流量：SYN 洪水（永远握不完手的那种）、用别人的字节回答你 IP 的 UDP 放大攻击、以及试图耗尽状态表的 ACK 滥用。这一类流量会在网络边界处被拦截，根本到不了你的实例——在所有套餐层级、全部 12 个位置都是如此。产品目录里唯一的升级项，是位于金属服务器梯子顶端、挂载在 25 Gbps 上联上的 L3/L7 清洗节点；其余所有层级默认就具备同样的边界行为。攻击发生时跑一下 ss -s，你就能看到到底哪一层在工作。

附带过滤不附带“判断力”。由住宅代理或真实浏览器僵尸网络发起的 HTTP 洪水，会以“合法流量”的身份穿过边界——因为在数据包层面它确实合法。RFC 4732 把这一点写得很正式：拒绝服务本质上是资源耗尽问题，一旦被耗尽的资源是你应用的 CPU 而不是你的端口，防御就从服务商的清洗路由器转移到了你 Web 服务器的配置里。边界能保住管道畅通，但它无法决定哪个请求值得被回应。

典型的错误是在事故进行中才发现这条边界。运维把 DNS 切到一台新机器，跳过所有限速，然后开工单问过滤器为什么拦不住每分钟一万个登录尝试。拦不住，是因为每一个尝试都是合法的 POST。先给昂贵的端点设定基线：配置 nginx 的请求限制，用 limit_req 限制每个 IP 的并发会话，并把“正常”的数字记录下来，让“异常”在凌晨 3 点一眼可见，而不是下午 3 点的未解之谜。

容量依然重要，目录上写得明明白白：入门 VPS 是 1 Gbps 不限流量，Prime 2.5 Gbps，Titan 10 Gbps，梯子顶端是 25 Gbps 已清洗的上联。更大的管道买到的是吸收时间；它买不到判断力。先设好应用层限制，再让边界做它该做的事，这两层就会干净利落地互相补上对方的盲区。

当洪水看起来像真人时，你的限速器才是真正的盾牌

经验反复验证着一个反直觉的事实：一旦攻击值得对你发起，它就不会再长得像攻击。垃圾包洪水既廉价，边界也免费替你吃掉。真正造成伤害的，是长得像登录尝试、搜索查询、结算提交的流量——和你自己的客户每天产生的形态一模一样，只是速率没有任何肉体能达到。

应用层洪水会刻意瞄准昂贵的端点。一个消耗 200 毫秒 CPU 和四次数据库查询的页面，对攻击者的价值大约是静态资源的一百倍，所以僵尸网络请求的就是这个 URL。过滤器放行了每一个数据包，因为每个包都合法；分类工作发生在你的技术栈里。fail2ban、nginx 的限速区、以及在 limit_req_zone 里声明的按 IP 并发上限，才是这里真正起作用的层面——不是服务商的工单队列，也不是更大的套餐。

只要你把昂贵的路径“拍平”，经济账就站在你这边。把一个重页面做成缓存，200 毫秒的渲染就变成 5 毫秒的缓存命中，这会把攻击者需要的肉鸡数量翻上大多数 booter 预算都负担不起的倍数。用 curl -w '%{time_total}' 实测你的头部端点的真实成本，能缓存的都缓存掉，把真正动态的路径留给严格的按身份限速，让爆炸半径保持在小范围内。

经典的失败是在洪水进行到一半时才补救：源站已经饱和，每一次配置变更都在和攻击抢同一颗 CPU。高压之下写的规则也写得很烂。趁网站风平浪静时就定好规则：哪些端点可以花多少成本、哪些操作需要会话、“忙碌的真实用户”和“脚本”的分界线在哪。写下来，放在下一个运维找得到的地方。

这些都不是替代自带的过滤——而是叠加在它后面。边界替你挡住任何应用都无法存活的大洪水，你的限速替你挡住任何过滤器都无法分辨的洪水。一个白名单化的游戏服务器或单一协议的 VPN 端点，能把目标收得更窄，而且分文不花，效果胜过大多数付费产品。按层思考，并且在需要每一层之前先测试它。

一封合格的滥用回复就是一份完整数据集，而处理台只看三个字段

大多数运维回应滥用邮件只有两种方式，而两种都以悲剧收场：沉默，或一整段否认。沉默会让一封例行举报升级；否认会让它变成一封带附件的更长举报。对面的滥用处理台不是裁决你命运的法官——它是一个把证据和所有人对上号的书记员，而书记员处理“发数据的人”最快，“发演讲稿的人”最慢。

每份举报都带着三样东西，每份可信的回复也要交还这三样：IP、UTC 时间戳、以及占用该套接字的进程。用自己的日志把它们找出来：journalctl -u nginx --since '2026-10-09 06:00:00'，用 ss -tnp 确认当前活动连接，然后用平实的句子陈述结果。如果举报属实，就承认并描述修复——邮箱关了、插件删了、凭据换了。如果举报有误，就出示能证明这一点的日志行。

时间戳值得单独说一句。滥用处理台统一用 UTC 工作，因为它们要跨时区关联多份举报；一封满是本地时间猜测的回复读起来就是噪音。用 timedatectl set-timezone UTC 把服务器时钟固定在 UTC，日志也以 UTC 记录，并逐字引用日志行，不要改述。机房保留的连接元数据最多只有 24 小时，所以你自己的应用日志通常是你机器上发生过什么的唯一持久记录。

毁掉案例的是争辩。那些纠缠司法管辖权、支付方式、或投诉人道德立场的回复，都会被归档为“未解决”，因为这些都不改变处理台已经核对过的事实。账单上的 19 种币、没有 KYC（实名认证）、机房上空飘着的旗帜——对手里拿着一段日志摘录的人来说，全都无关紧要。用数据回应数据，案卷自己就会关上。

把每封滥用邮件都当成“三个字段加一个修复”的请求来处理，本指南后面描述的升级序列就永远不会走过第一步。这样回应的运维少到这个习惯本身就是一层保护。把回复模板写一次，放进运维手册，趁证据还在日志里新鲜的时候把字段填上。

Tor 出口节点天生是投诉磁铁，但完全熬得过去

运营一个 Tor 出口节点，意味着自愿接收全互联网的滥用邮件；而能长期坚持下去的运维，绝不是藏起来的那种——出口节点按定义就是公开的。让出口地址保持可达（不被封锁）的，是可达性本身：一个公开的联系方式、一份明确的出口策略、以及有问必答的记录。Tor 网络自己的中继文档就是这样说的，值得在第一封投诉到来之前完整读一遍。

在中继上线之前就刻意设置好出口策略。完全出口转发一切；缩减版策略只转发 Web 端口、拒绝那些招来最恶毒邮件的端口。torrc 里的 ExitPolicy 行决定这一切，而仅仅封掉端口 25（SMTP），就能消除出口节点原本会收到的大多数垃圾邮件投诉。把滥用联系方式直接公布在中继信息里，让举报者在找到机房之前先找到你，并像守寻呼机一样盯着那个邮箱。

中间中继这个选项的存在是有原因的。中间中继承载 Tor 流量但从不转发到开放互联网，这意味着任何第三方都没有理由投诉你的 IP——你的地址永远不会作为来源出现在任何人的日志里。很多运营者先跑一年中间中继，积累历史、摸清运维节奏，然后再决定出口节点的邮件量是否适合自己的运维手册和出差行程。

致命模式是：上线出口、无视头几周的邮件、然后在地址进了黑名单时才发现——那一刻它对你已经无所谓，对机器上的其他所有服务却仍然致命。你从不回应的投诉，会由上游替你回应。如果你没法诚实地守住那个收件箱，就跑中间中继；网络对它的需要丝毫不亚于出口节点，而且你的地址在架构上就是干净的。

出口节点是基础设施，而这些指南假设你会像基础设施一样运营：有文档、找得到人、在该无聊的地方无聊。做到这一点，滥用邮件就变成你处理的队列，而不是你熬过去的危机。同样的纪律直接适用于本指南里其余所有投诉类别，这也是它排在最前面的原因。

DMCA 是版权邮件，不是一个切断服务器电源的开关

共享主机教会了一代运维人把 DMCA 通知当作“附赠一张账单的即时静默下架”。这里的流程在性质上完全不同：版权邮件按版权邮件归档，读取其中的具体细节，并按事实本身来回应。一封通知不会重启你的服务器、暂停你的实例、或读取你的文件——它开启的是一场你可以实际参与的、有据可查的往来。

通知会带着一个 URL、一段作品描述和一份宣誓声明到来。你的义务始于查看实际被发布的内容：侵权就删除文件，指控有缺陷就恢复，无论哪种都保留记录。美国版权局的模板列明了通知的必备要素，而一条 grep -c 'file.zip' access.log 能告诉你被举报的路径实际被请求过多少次，对文件执行 stat 则能把上传时间精确到分钟。

儿童安全类举报是硬边界，任何意义上都不属于版权邮件。它们带着 URL 路由到滥用邮箱，并按其应有的严重程度处理；任何支付方式、司法辖区或账单层级都改变不了这一点。每家主机都有一份禁止类别清单；这一份是公开的，而且很短，而这个类别在全部 12 个位置都排在清单最顶端。

常见的错误是把它当垃圾邮件处理，因为“这台机器上显然什么侵权内容都没有”——有时候有：藏在你忘了自己暴露过的某个上传路径里、某个老旧 CMS 插件里、某个开着目录列表的测试目录里。先查 URL，再看日志，最后才轮到你的主观判断。无人回应的版权邮件，会汇入和其他任何被忽视举报相同的升级阶梯——这是一种完全可以避免的、丢掉你花钱买的地址的方式。

版权流程和其他滥用处理遵循同一条法则：证据进来，证据出去，一个修复终结案件。通知本身是例行公事；带着具体细节回应通知的运维却不是。保留好让你成为那种运维的日志，整个流程就会保持无聊——而在滥用处理这件事上，“无聊”是最高的褒奖。

禁止清单很短，而币种不会让它弯曲

如果你愿意往歪处想，19 种币、12 座城市、免 KYC 读起来确实像个灰色地带。但禁止清单是其中不会松动的那部分：CSAM、钓鱼、垃圾邮件、攻击流量，在任何套餐上、用任何币支付、在地图上的任何位置，都是禁区。政策文本在雷克雅未克和台北之间没有区别，其底下的执行底线也没有。

为什么是绝对的？因为底线是由机房和上游运营商划定的，不是由转售商的心情。一个容忍攻击流量的数据中心会失去它的转接带宽；一个容忍钓鱼的数据中心，会让它拥有的每一段 IP 区间上的每一个租户都赔上邮件信誉。这在苏黎世的 Tier IV 机房和东京的 Tier III+ 机房里经济逻辑完全一样：这些禁止类别让运营者付出真金白银，所以也让滥用者付出账号。滥用行为按照机房所在地的法律处理，这在下单前就按城市逐条写明。

单说垃圾邮件，运营现实非常直白：一台批量发送未经请求邮件的租用机器，几天之内它的 IP 区间就会被标记，而区间关系到上面的每一个邻居。用 VPS 发邮件，需要在第一封发出之前就配好 SPF、DKIM 和 DMARC，保持较低的每日发信量，并且名单上是真实主动加入的人类。这比大多数租个小机器就开跑的垃圾邮件发送者愿意做的工作多得多——而这恰恰是这套设计的用意。

常见的错误是以为支付方式是政策的一个层级。XMR 和 BTC 清算的是同一种账单，可接受使用政策在两者之上读起来一字不差。如果一个项目需要的是禁止清单里的类别，那么没有任何币种、期限或城市能承载它——正确的做法是根本不下单。支付方式改变不了任何东西，它也不是为此设计的；装作能改变，只会把同一个阶梯上的结局往后推几级。

这么短的禁止清单，遵守起来容易，试探起来昂贵。其余一切——机房所在地合法的成人内容、隐私工具、科研流量——默认都在政策的容许范围内。下一节讲的是针对上述类别唯一存在的执行手段，以及当你像专业人士一样回复邮件时，它被触发的频率有多低。

空路由排在序列的末端，而不是开头

问运维们什么是空路由，大多数人会描述成断头台；实际的设计是一个四级可见阶梯的最后一级。举报到达，你用事实回复，你落实修复，地址恢复安静。黑洞路由是为“AUP（可接受使用政策）被公然违反、而工单无人回应”的场景准备的——它是最后的工具，不是第一反应，而且这个区别从外面看得见。

让案件升级的是以“天”计的沉默，不是以“小时”计。举报按批次排队；一个工作日内没有运维回复的案件开始显得被抛弃；一个同时还显示持续流量的案件——同样的垃圾邮件模式、同样的扫描目标——看起来既被抛弃又毫无悔意。到了这一步，ip route add blackhole 203.0.113.7 就是网络能为其余所有人提供的最便宜的保护，而且它的套用不带任何仪式，也不会有第二次警告。

解除路径同样机械。你修复根因，回复时间戳和你所做的变更，处理台确认后，黑洞路由就用 ip route del blackhole 203.0.113.7 摘除。用时间戳和进程名回应的运维，几乎永远不会在自己的地址上见到这两条命令中的任何一条。阶梯之所以公开，正是为了让你随时看清自己离顶端一级有多远。

可以避免的失败是“失联”：出差时没给 abuse@ 联系人设置转发，工单路由进一个你每季度才查一次的邮箱，某个离职的同事带走了邮箱密码。以上每一种都会把一个只需两次回复的案件变成升级。把滥用联系人指向一个你真的会读的地址——一个有人盯的别名，而不是一个 catch-all——本节其余内容对你来说就永远只是理论。

硬件会让局面朝你有利的方向倾斜。当负载配得上金属时，租一台 dedicated Forge，目录价 $49/mo——年付折合 $39.20/mo——同样的“用数据回应”纪律照样适用，而且背后还有 IPMI 兜底：机器卡死了，趁工单还热乎着就能带外重装。命令序列不在乎你跑的是什么硬件；你的响应时间才在乎。在任何层级上，一个有人盯守的收件箱都是便宜的保险。

更窄的目标胜过更厚的过滤

本指南里最强的抗 DDoS 控制措施分文不花：更少的监听服务。每一个开放端口都是一个过滤器无需被问询的请求面，而大多数被流量淹没的机器上，跑着主人早已彻底遗忘的服务。不限流量带宽在心理上让这一点更糟——不限流量的端口不是一个不被监视的端口，也不是把你装得下的东西全部暴露出去的通行证。

先做清点：在一台新机器上跑 ss -lntu，列出实际在监听的东西，诚实的答案通常比主人预期的更长。然后默认全部关闭——写一套 nftables 规则，例如 nft add rule inet filter input tcp dport 22 reject，只放行负载真正需要的东西，其余一概不放。带社区白名单的游戏服务器只呈现一张窄脸；WireGuard 端点只回应一个 UDP 端口；躲在缓存前端后面的 Web 应用，能扛住几分钟内就能拍平裸源站的锤击。

这样，吸收容量就是在为你工作，而不是替代你工作。入门 VPS 承载 1 Gbps 不限流量，Prime 2.5 Gbps，Titan 10 Gbps，金属梯子顶端在流量到达你之前先清洗掉 25 Gbps。按目录价 $6/mo——年付折合 $4.80/mo——下一台 Core，用于白名单化的游戏或家庭实验室机器，自带的 L3/L4 会处理抵达的大洪水，白名单则处理一切更聪明的东西。底下选的 虚拟化类型，决定了高压之下这台机器真正属于你的有多少。

失败模式是“越扩越宽的例外”：一个端口给面板，一个给旧 API，一个临时给调试，全都无文档可查。六个月后攻击从你遗忘的那个端口进来，事后复盘连它的名字都叫不出来。每月重跑一次 ss -lntu，和上一次输出做 diff，把每一个新增的监听行都当成一个你必须当场口头辩护的决定。

收窄目标还让自带的过滤更有效，因为穿过边界去干扰判断的“疑似合法”流量变少了。先过滤，再限速，再收缩——按这个顺序——昂贵的缓解类产品在整个项目生命周期里都会保持“不需要”状态。最后一节把整套日常流程按真正执行的顺序排好，从一台空机器到稳态。

DDoS 与滥用处理流程：按实际执行的顺序

流程始于攻击或滥用的第一个数据包到来之前，在一台甚至还没有域名指向它的机器上。用 nft -f 铺好基础规则集——入站默认丢弃，按名称放行负载真正需要的服务——并用 ss -lntu 确认监听情况。用 timedatectl 把时钟设为 UTC，把应用日志送往持久存储，然后为昂贵端点建基线：请求速率、并发数、以及你自己头部页面的渲染成本——趁一切风平浪静、测量廉价时记录下来。

上线日只需增加两个习惯，而不是新机器。规则集要先扛过一次重启，再把 DNS 指过来，因为只存在于 shell 历史里的规则集不是规则集。然后，趁“哪些东西应该开放”的记忆还足够新鲜、还能诚实地判断每一行时，就把第一次月度监听套接字 diff 排在 30 天后。目标收到这么窄，下游的一切都会变容易。

当流量变得奇怪时，先读懂再反应。ss -s 告诉你状态表是否在填满；边界仪表盘告诉你一场容量型事件是否正在上游被吸收。如果数据包是垃圾，边界已经在处理，你的任务就是耐心。如果数据包是合法的——登录、搜索、结算——战斗就转移到你的限速上，而第一步建好的基线数字，正是让“异常”在几分钟内（而不是几小时内）被识别出来的依据。

滥用邮件遵循固定回复，一个工作日内完成：IP、UTC 时间戳、占用套接字的进程，以及（若举报属实）修复。Tor 出口节点保持其公开联系方式和出口策略随时有效；版权通知在处理任何其他事情之前先把 URL 和日志核对一遍；禁止类别举报按政策所述路由，立即执行，不做争辩。这样回应的案件第一轮就能关上，升级阶梯永远离不了地。

稳态是一张按月执行的短清单：diff 监听套接字，对照当前流量重读限速规则，对一份备份做恢复测试，扫一眼 journalctl 里那些能预告下个季度事故的 OOM 或崩溃行。把这个循环跑起来，过滤器就会在无人察觉处尽忠职守，邮箱保持队列而非危机，而你名下的地址保得住自己的信誉。