防护带宽不是把平时流量乘一个固定倍数。要应用攻击峰值与防护带宽估算方法，先回答两个问题：业务正常时需要多少带宽，攻击时入口可能出现多大流量。两者混在一起，可能把促销、集中更新等正常高峰当成攻击，也可能低估真正需要清洗的流量。
先把三种流量分开看
- 正常基线：业务稳定运行时的进出流量。建议按分钟记录，并结合工作日、周末和已知活动观察变化。
- 正常业务峰值：真实用户集中访问、文件分发或定时任务造成的高点。应与订单、访问量、发布计划等业务记录对照。
- 攻击峰值：异常请求或数据流量带来的入口压力。它可能短促，也可能持续；只看日均值会漏掉短时间的高峰。
用监控平台查看入站带宽，并核对应用访问日志、网络设备记录和业务事件。若流量突然上升，但有效请求、交易或任务量没有相应变化，可列为异常线索；单凭流量图不能断定就是攻击。
按统一口径估算带宽
采集时段与峰值
至少覆盖数周的典型业务周期；若业务有月末结算、集中发布等季节性高峰，还要单独纳入。保存一分钟级或更细的记录，并同时查看短时最高值、持续数分钟的峰值和较长周期的高分位值。瞬时尖峰与持续压力对防护资源的要求不同。
确认单位也很重要：带宽通常以 bit/s 表示，文件大小常以 Byte 表示，1 Byte 等于 8 bit。还要确认监控点是在公网入口、清洗前还是清洗后；不同位置的数值不可直接比较。
计算防护目标
- 找出正常业务的实测高峰，标记已知活动和异常时段。
- 从异常时段估算入口总流量，并区分正常流量与疑似攻击增量；资料不足时，把入口总峰值作为保守参考。
- 将目标峰值乘以余量系数。测量较完整、增长稳定时可从约 1.2 倍起评估；历史不足、流量波动大或扩容周期较长时，可考虑约 1.3 至 1.5 倍，并说明依据。
- 再核对包速率、连接数和业务处理能力，确认服务商的清洗能力覆盖对应流量类型与持续时间。
例如，某服务平时高峰约为 450 Mbps，一次异常时入口总流量约 1.2 Gbps。若暂按 25% 余量规划，目标约为 1.5 Gbps。这个演算只是说明口径：实际选型应核实峰值是否测准、异常持续多久，以及清洗服务的容量定义。
别只盯着 Gbps
带宽描述每秒传输的数据量，但大量小数据包可能先耗尽包处理能力。比较方案时，应一并询问每秒包数（PPS）、并发连接处理能力、支持的流量类型、清洗触发方式和恢复路径。大流量数据包与高包速率小数据包，对设备的压力并不相同。
还要区分清洗容量与业务服务器可承载的带宽。前者关注攻击流量能否被识别和过滤，后者关注清洗后的正常流量能否到达业务并被处理。防护容量足够，不代表应用、网络链路或数据库一定能承受业务高峰。
估算后再做一次校验
把峰值来源、采样间隔、计算余量和待确认事项记录下来，再与服务商逐项核对容量口径。发生事件后，复盘入口峰值和持续时间，调整下一周期的假设。这样使用攻击峰值与防护带宽估算方法，比照搬固定倍数更容易解释预算，也能及时发现带宽之外的性能瓶颈。
常见问题
正常业务峰值可以直接当作攻击峰值吗？
不可以。它可作为正常流量基线；攻击峰值需要结合异常时段的入口记录和业务情况判断。
只看月度流量账单够不够？
不够。账单汇总可能无法体现短时峰值，应查看带时间粒度的入口监控记录。
没有攻击历史怎么办？
先用正常高峰和容量测试建立基线，按风险与增长情况留出余量，并向服务商确认可提供的防护能力及计量口径。
防护带宽越大越好吗？
不一定。还要看费用、清洗范围、包速率能力及业务侧瓶颈；带宽目标应与实际威胁和承载能力匹配。
