针对美国服务器最常见的 DDoS 攻击，给出从发现攻击到恢复服务的完整排查和应对流程。
问题一：网站突然无法访问 表现：网站 503 或超时，服务器 CPU/带宽正常，但流量仪表显示入站流量暴增。 可能原因：遭受 DDoS 攻击（SYN flood、UDP flood、HTTP flood）。 排查步骤：netstat 看连接数；iftop 看流量来源；WAF 日志看请求特征；机房流量图确认攻击类型。 快速修复：立即开启高防 IP；封禁攻击 IP 段；CDN 隐藏源站；联系机房清洗流量。
问题二：SYN flood 导致连接队列满 表现：netstat 显示大量 SYN_RECV 状态连接，正常请求无法建立连接。 可能原因：SYN flood 攻击，攻击者伪造源 IP 发送大量 SYN 包。 排查步骤：netstat -an | grep SYN_RECV | wc -l；tcpdump 抓包看源 IP 分布。 快速修复：开启 syncookies（sysctl -w net.ipv4.tcp_syncookies=1）；增加半连接队列；切换到高防 IP。
问题三：HTTP flood 导致应用层过载 表现：带宽正常但 CPU 跑满，access.log 显示大量请求来自不同 IP 但特征相似。 可能原因：HTTP flood 或 CC 攻击，模拟正常请求打满应用。 排查步骤：分析 access.log 找异常 UA、Referer、请求路径；统计 IP 请求频率。 快速修复：WAF 配置速率限制；人机验证（验证码）；封禁异常特征；CDN 缓存动态接口。
问题四：UDP flood 打满带宽 表现：入站带宽打满，服务器无响应，机房通知流量异常。 可能原因：UDP flood 或 DNS/NTP 反射攻击。 排查步骤：iftop 看 UDP 流量；tcpdump 抓包看端口。 快速修复：机房黑洞路由；切换高防 IP；关闭不必要的 UDP 端口。
问题五：攻击停止后服务未恢复 表现：攻击停止但网站仍无法访问，连接数很高。 可能原因：连接表未清理；应用进程崩溃；数据库连接池耗尽。 排查步骤：netstat 看连接状态；检查应用进程；查看数据库连接数。 快速修复：重启应用和 Nginx；清理连接表；重启数据库；检查是否有残留攻击。
预防措施：提前配置高防 IP；CDN 隐藏源站；WAF 规则；定期压测；准备应急预案。