DDoS / 爬取洪峰应急 Runbook

阿里云免费「DDoS 基础防护」自动生效：清洗阈值与黑洞阈值查询路径 = 控制台 → 安全 → DDoS 基础防护 → 实例列表（北京区黑洞阈值约 5Gbps 量级，以控制台实际显示为准）。超过黑洞阈值即封 IP，黑洞期默认 2.5h，反复被打会延长到 24h，期间无法主动解封。

1. 看清攻击面：awk '{print $1}' /var/log/nginx/access.log | sort | uniq -c | sort -rn | head -20 找 top IP；再看打的路径。
2. 封单个/少量 IP：nginx conf 对应 location 或 server 级加 deny 1.2.3.4; → nginx -t && systemctl reload nginx；或阿里云安全组加拒绝规则（源 IP /32，优先级 1）。
3. 整体调紧：把 /etc/nginx/conf.d/jiu.conf 里 jiu_pub 从 10r/s 降到 2r/s、jiu_shoplist 降到 1r/s、jiu_conn 降到 5，reload。注意这是临时手改线上，恢复后必须回滚（下次 server 发版会覆盖为仓库版本）。
4. 应用层兜底：后端还有分钟级限流 + 日配额（redis 外置，重启不丢）；紧急时可在 /opt/jiu/config/production.env 调小 RATELIMIT_* 后 systemctl restart jiu。

本机和 nginx 层无能为力（流量在进机器前就占满管道），只有两条路，二选一：

路 A：购买阿里云 DDoS 高防（攻击打 IP 也有效，成本高）

1. 控制台购买「DDoS 高防（中国内地）」保险版（约 ¥2-3k/月起 + 弹性按次计费）。
2. 配置网站接入：源站 182.92.213.171，转发 443/80，回源保持 HTTPS。
3. 把 jiu.51yanmei.com 的 A 记录改为高防给的 CNAME（阿里云云解析，TTL 600 内约 10-30 分钟全网生效）。
4. 攻击停止后可退回直连并停止续费。

路 B：套 CDN / 边缘安全加速（只有攻击打域名时有效）

1. 域名已备案 ✓，可开阿里云 CDN 或 ESA，源站 182.92.213.171:443。
2. 动态 API 全走回源（CDN 主要挡静态与摊薄入口），若攻击者直打源 IP 则无效——届时只能走路 A 或换公网 IP（换 IP 需同步改 DNS + baize 台账 + pay 相关配置）。

1. 黑洞无法主动解除，等待期（控制台显示解封时间）内做两件事：给客户发公告（模板见下）；评估是否走第三节路 A（高防接入可在黑洞期间完成配置，解封即切换）。
2. 客户公告话术模板：「系统服务器正遭受网络攻击，运营商已启动防护，预计 X 时 X 分前恢复。期间已录入的数据不受影响，App 可离线查看，恢复后自动同步。给您带来不便深表歉意。」
3. 事后复盘：控制台下载攻击流量报表，评估是否升级常备防护，更新本 runbook。