带宽不够，正常用户可能访问变慢；只按日常流量采购，也可能在突发流量到来时失去余量。DDoS防护带宽峰值评估方法的第一步，不是给所有系统平均分配，而是找出中断后影响最大、又直接暴露在公网的业务。
先排优先级：哪些业务先测
优先检查公开网站、视频或文件分发、在线预约与交易入口、远程访问门户等。可按三项打分：中断影响、外网可达程度、流量波动幅度。高影响且直接对公网开放的服务先测；内部管理后台若只能经专用网络访问，通常排在后面，但仍要检查它是否依赖公网身份验证或远程运维。
还要区分“业务峰值”和“攻击峰值”：前者是用户正常访问时的流量，后者是防护系统需要识别、吸收或清洗的恶意流量。仅测前者不能直接得出所需的抗攻击能力。
五种带宽评估方法
1. 从历史监控找真实高峰
- 导出至少覆盖一个业务周期的入口与出口流量；条件允许时，取连续30至90天，并覆盖促销、发布或直播等已知高峰。
- 查看峰值之外的持续时间、出现频率和并发连接变化。只有单个采样点的尖峰，和持续十几分钟的高流量，对容量规划的意义不同。
- 检查监控粒度。按5分钟汇总可能掩盖短时突发；若设备支持，可同时查看1分钟数据或更细的采样记录。
这个方法适合已有稳定监控的业务。评估时记录观测窗口和采样间隔，避免把短时尖峰误当成长期需求，也不要因采样过粗而漏掉突发。
2. 用流量样本换算带宽
若日志记录的是某段时间传输的数据量，可用“字节数×8÷秒数”换算为比特每秒。例如，统计一个明确的60秒窗口，再结合监控核对结果。换算前要确认计数的是入站还是出站、单网卡还是所有出口，并留意以太网、隧道等封装开销；不能把单台主机流量直接当作整个业务的总带宽。
这种办法适合缺少现成带宽曲线、但有网关或主机流量记录的场景。采样应覆盖业务入口的汇总点，否则多个节点的流量可能被漏算或重复计算。
3. 按业务链路拆分后再汇总
把用户请求经过的入口、应用节点、对象存储或内容分发环节分别列出，标明各段的流量方向和出口位置。比如，网页返回少量文本与下载大型安装包的流量特征不同；视频播放还可能由边缘缓存承担大部分传输。评估时只把实际经过待防护线路的流量计入该线路需求。
这一方法能避免把所有服务的标称带宽简单相加。应同时检查回源带宽：缓存命中率下降或源站直连增加时，源站出口可能先成为瓶颈。
4. 用受控测试验证业务上限
在获准的测试环境或维护窗口内，逐步增加合法请求，观察响应时间、错误率、出口利用率和连接数；达到预先设定的停止条件就结束。不要在未授权的生产网络中制造攻击流量。测试结果反映的是业务承载能力，不等同于防护设备能处理的恶意流量上限。
若无法安全压测，可通过容量测试环境、供应商提供的测试方案或历史高峰进行验证，并记录应用版本、缓存状态和节点数量，方便后续复测比较。
5. 按场景留余量并核对防护口径
在实测业务峰值上增加余量，是初步规划而非通用答案。业务稳定、缓存充分时，可把约20%至30%作为讨论起点；季节性强、增长快或监控不完整时，需要更大的缓冲，并用数据复核。具体幅度取决于增长预期、线路扩容时间和服务商计量方式。
与防护服务商确认带宽数字指的是接入容量、清洗能力还是客户可用的回源带宽，并询问计费和告警采用的统计窗口。带宽以Gbps表示时，还要关注每秒数据包数：小包密集的流量可能先压满设备处理能力，单看带宽数字并不充分。
把评估结果变成行动清单
- 为每项业务记录正常峰值、峰值持续时间、入口位置及数据来源。
- 标注优先级和当前瓶颈，分清线路容量、应用承载与清洗能力。
- 在业务大促、内容发布、版本切换等流量结构变化后重新评估。
可复用的DDoS防护带宽峰值评估方法，应能说明峰值从哪里来、覆盖什么流量、余量为何这样设置。先测高影响的公网业务，再用监控和测试逐步校准，比给所有业务套用同一带宽数字更可靠。
常见问题
多久评估一次比较合适？
可按季度检查一次；若业务增长、架构调整或活动流量明显变化，应提前复核。
历史最高值能直接作为防护带宽吗？
不能。它只代表已观测到的业务流量，还要考虑未来增长、突发余量和攻击清洗能力。
只看Gbps够不够？
不够。还应核对每秒数据包数、连接处理能力、统计窗口，以及防护后的回源带宽。