BGP高防和单线高防哪个防御能力强：看清洗储备，也要看攻击下用户能否访问

先说结论

如果“防御能力”只看能扛住多大的流量，单线高防往往更占便宜。同样的预算，单线机房通常能买到更高的硬防峰值，因为它的清洗带宽集中在一家运营商的骨干节点上，成本较低。

如果“防御能力”指的是被攻击时业务还能不能正常用，BGP高防通常更强。原因不在于它能多扛几个 G，而在于两点：被攻击时，电信、联通、移动的用户都还能低延迟访问；多线路加上分布式清洗，也更不容易出现单点被打满、IP 被拉进黑洞的情况。

所以要先想清楚业务在乎哪一种。用户集中在一家运营商、能接受跨网慢一些、预算紧，单线高防的性价比更高。用户分布在全国各网络，业务是网站、API、对战游戏、直播或支付，BGP 高防，或者带多线加速能力的高防网络，给到的保障更完整。

“防御能力”要拆成三件事看

采购时容易只盯着报价单上的防御峰值。实际影响业务的有三项：

1. 清洗储备：节点能吸收、清洗多大的攻击流量。这一项取决于服务商在节点上投入了多少带宽和清洗设备，和线路是单线还是 BGP 没有必然联系。
2. 攻击期间的可访问性：清洗能扛住，不代表所有用户都能访问。流量要经过运营商之间的互联链路，这些链路被挤满以后，异网用户一样会卡顿、掉线。
3. 超出防御后的结果：攻击超过阈值，IP 一般会被运营商或机房黑洞（Null Route），这段时间里业务完全不可达。黑洞持续多久、能不能提前解封、有没有弹性防护可以临时顶上，这些都要在合同里写明。

单线高防在第 1 项上常常更有优势，BGP 高防在第 2、3 项上更有优势。网上说“哪个更强”的说法不一致，多半是因为各人看的维度不同。

单线高防：强在硬防，弱在跨网

单线高防一般部署在单一运营商的骨干网节点上，比如电信单线或联通单线。

优势：

• 同运营商用户直连骨干网，路径短，访问质量好；
• 大流量硬防的采购成本较低，同样预算下纸面防御值更高。

短板：

• 异网用户访问要绕运营商之间的互联节点，比如移动用户访问电信单线，延迟和丢包会明显增加；
• 遇到大流量攻击时，跨网互联链路可能比清洗设备更早被塞满。机房的清洗系统还在正常工作，异网用户却已经访问不了了；
• 防护集中在单个机房，攻击超过这个机房的承载上限，就只剩黑洞这一种结果。

部分服务商提供的“双线”“三线”，实际是给每家运营商各分配一个 IP，再靠智能 DNS 分流。这种方案和单 IP 的 BGP 不是一回事。采购前要问清楚：业务拿到的是一个 IP，还是多个 IP。

BGP高防：强在全网可用，代价是成本

BGP 高防通过边界网关协议，让同一个 IP 同时接入电信、联通、移动等多家运营商。运营商的路由会自动为用户选择较优路径，某条线路拥塞或故障时，流量可以自动收敛到其他线路。

这对防御的意义有三点：

• 攻击期间全网体验更一致：不存在“同网用户正常、异网用户访问不了”的情况；
• 更不容易被单点打穿：较新的云端 BGP 高防大多结合了分布式或 Anycast 近源清洗，把超大流量分散到多个骨干清洗集群里消化，比单机房硬扛更不容易触发黑洞；
• 接入简单：只有一个 IP，不需要按运营商维护多套解析。

代价是 BGP 带宽本身更贵。同样的防御峰值，BGP 高防的报价通常明显高于单线。部分商家会用“BGP”做宣传，实际只接了少数几家运营商，所以要实测三网延迟，不能只看页面上的写法。

按业务选

还有一点容易被忽略：线路类型解决的是网络层的大流量问题，对 CC 攻击帮助不大。如果业务主要被高并发的 HTTP 请求刷，无论单线还是 BGP，起作用的都是七层的访问频率规则、WAF 和人机识别。还不确定是哪一类攻击，可以先看如何判断网站遭遇的是DDoS还是CC攻击；七层防护的具体做法，可以参考高防CDN能防CC攻击吗。

采购前要问清、测清的几件事

1. 防御峰值是保底还是弹性：保底部分包含在费用里，弹性部分怎么计费、超出后多久进黑洞、黑洞持续多长时间。
2. 是否单 IP 多线：要求服务商说明具体接入了哪几家运营商；只有“双线”“三线”字样的，问清楚是不是多 IP 方案。
3. 三网实测：在测试期内，分别从电信、联通、移动网络 ping 和 traceroute，最好覆盖晚高峰时段。单线高防重点测异网用户的访问效果。
4. 攻击期间的表现：问服务商在大流量攻击期间是否有限速、是否会丢弃正常流量，能拿到的日志和告警粒度是什么样的。
5. 源站是否隐藏好：高防只能保护经过它的流量。源站 IP 一旦泄露，攻击者可以绕过防护直接打源站，线路选得再好也没用。收口方法见高防CDN接入后源站IP还会暴露吗。

不买高防服务器，也可以把线路问题交给防护层

上面的比较主要针对“把服务器放进高防机房”这种部署方式。如果源站已经在别处，不想为了防御迁移服务器，也可以在前面加一层高防 CDN 或四层代理。线路和清洗都由防护服务商的节点网络承担，源站只接收清洗后的回源流量。这时候选型问题就变成：服务商节点的线路质量怎么样，清洗能力有多大。

RockCloud 的 DDoS 与 CC 防御 就是这种接入方式：加速和防御在同一条链路上完成，只收一份费用，按固定峰值计费，不限流量。游戏这类非 HTTP 业务可以按协议选择对应的接入方式。具体能防多大的攻击、各地区的访问质量，建议直接申请免费测试，用自己业务的三网数据来判断，不要只看宣传参数。