DDoS 高防价格与规格参数全解：保底带宽、业务带宽与清洗能力怎么配
DDoS 高防的账单由四块拼起来：保底防护带宽、业务带宽、业务 QPS、功能套餐。很多人只看了保底带宽的价目表，签完合同才发现业务带宽这一项比保底还贵。这一页把阿里云和腾讯云高防的完整价目表、扩展项阶梯单价、95 消峰的计费口径、带宽估算方法全部拆开算给你看。
先看清账单结构：四个计费项，不是一个月费
DDoS 高防跟 WAF 不一样，它不是"选一个版本、交一个月费"就完事。账单由四个独立计费项拼成，每一项单独报价、单独扩容，采购时必须逐项确认。
计费项一：保底防护带宽。这是你买的基础清洗能力，单位 Gbps。攻击流量在这个范围内不额外收费。这一项是预付费，也是报价单上最显眼的数字，但它只占最终账单的一部分。
计费项二：业务带宽。这是正常业务流量的承载能力，单位 Mbps，跟攻击无关。攻击流量走清洗，正常流量走业务带宽，两者是分开的。业务带宽超了会丢包，所以这一项必须按真实业务峰值配足。阿里云 30G 保底实例默认含 100 Mbps，腾讯云同样赠送 100 Mbps。
计费项三：业务 QPS。HTTP 和 HTTPS 业务的最大并发请求速率。阿里云把这一项单独列出来，30G 保底实例默认 3,000 QPS。如果业务是动态页面、接口调用密集，QPS 会先于带宽成为瓶颈。
计费项四：功能套餐与规格扩展。标准套餐和增强套餐差价明显，阿里云增强功能 8,000 元/月。另外防护域名数、端口数都有免费额度，超了按阶梯加价。
把这四项加起来的才是月费。只看保底带宽报价做预算，实际支出经常翻倍。
阿里云 DDoS 高防保底带宽价目表（中国内地）
保底防护带宽从 30 Gbps 起，最高到 1500 Gbps，可定制更高规格。年付价跟月付价乘 12 差别不小，长期项目建议按年算。
| 保底防护带宽 | 月付（元/月） | 年付（元/年） | 年付折合月均 | 适合什么业务 |
|---|---|---|---|---|
| 30 Gbps | 20,800 | 249,600 | 20,800 | 常规企业站、中小电商 |
| 60 Gbps | 46,800 | 252,000 | 21,000 | 有一定攻击史的业务 |
| 100 Gbps | 76,800 | 328,000 | 27,333 | 游戏、金融、政务门户 |
| 300 Gbps | 96,800 | 528,000 | 44,000 | 易被大流量攻击的行业 |
| 400 Gbps | 150,000 | 968,000 | 80,667 | 大型游戏、直播平台 |
| 500 Gbps | 368,000 | 3,753,600 | 312,800 | 头部互联网业务 |
| 600 Gbps | 438,000 | 4,467,600 | 372,300 | 超大规模业务 |
| 800 Gbps | 504,000 | 5,112,000 | 426,000 | 超大规模业务 |
| 1000 Gbps | 612,000 | 6,120,000 | 510,000 | T 级防护需求 |
| 1500 Gbps | 900,000 | 8,928,000 | 744,000 | 定制级防护需求 |
这张表有两个反直觉的地方，采购时容易看漏。
第一，60 Gbps 的年付价（252,000）几乎和 30 Gbps（249,600）一样。年付口径下，从 30G 升到 60G 只多 2,400 元。如果确定要年付且攻击流量可能超过 30G，直接上 60G 的性价比明显更高。
第二，300 Gbps 月付 96,800，400 Gbps 跳到 150,000。100G 到 300G 只涨 20,000，300G 到 400G 却涨 53,200。选型时如果预估峰值在 350G 附近，先按 300G 保底加弹性防护扛，比直接买 400G 保底更划算。
另外阿里云还有一个高级版套餐：保底固定 5 Gbps，基础实例费 19,800 元/月。这个规格适合攻击流量不大但需要高防 IP 做源站隐藏的场景，比 30G 保底便宜 1,000 元，但防护能力差了六倍，选择时要看清。
阿里云扩展项单价：这四项最容易超预算
保底带宽定下来之后，真正决定账单的是扩展项。阿里云这几项的阶梯价都是"前一档免费、超出部分按档计费"，不是统一单价，算的时候要分段累加。
| 扩展项 | 免费额度 | 阶梯单价 | 超支风险 |
|---|---|---|---|
| 业务带宽 | 100 Mbps | 100–600 Mbps：100 元/月/Mbps | 高。业务带宽按正常流量峰值算，攻击不影响这一项，但业务增长会直接推高 |
| 业务 QPS | 3,000 | 3,000–5,000：10 元/月/QPS 5,000–8,000：9.5 元 8,000–10,000：9 元 10,000–50,000：8.5 元 50,000–100,000：7 元 100,000 以上：6 元 | 高。接口型业务 QPS 涨得快，且这一项配小了会丢包 |
| 防护域名数 | 50 个 | 标准套餐：50–200 为 30 元/月/个，200–600 为 28 元，600–2,000 为 26 元，2,000 以上 18 元 增强套餐：对应 50 / 45 / 40 / 30 元 | 中。域名多的站群业务容易超 |
| 端口数 | 50 个 | 50–150：50 元/月/个 150–400：45 元 400–1,000：40 元 1,000 以上：30 元 | 中。TCP/UDP 业务端口多时要注意 |
| 增强功能套餐 | — | 8,000 元/月 | 看需求。需要更强接入能力和防护策略时再买 |
| 弹性防护带宽 | — | 按天后付费，超出保底且低于弹性上限的部分按天计费 | 低。没被打就不产生费用 |
算一笔常见的账。一个 30G 保底实例，业务带宽配到 500 Mbps，防护域名扩到 200 个，端口扩到 150 个：
- 保底 30G：20,800 元
- 业务带宽 500 Mbps：免费 100，超出 400 × 100 = 40,000 元
- 域名 200 个：免费 50，超出 150 × 30 = 4,500 元
- 端口 150 个：免费 50，超出 100 × 50 = 5,000 元
- 合计 70,300 元/月
保底带宽只占总额的 30%，业务带宽一项就占了 57%。这就是为什么只看保底报价会严重低估预算。
腾讯云 DDoS 高防价目表与规格参数
腾讯云高防 IP 同样是组合计费，但业务带宽的计价区间跟阿里云不同，比价时要按自己实际的带宽规模算，不能直接比单价。
| 保底防护带宽 | 月付（元/月） | 年付（元/年） | 年付折合月均 |
|---|---|---|---|
| 30 Gbps | 19,800 | 237,600 | 19,800 |
| 60 Gbps | 42,800 | 298,000 | 24,833 |
| 100 Gbps | 46,800 | 308,000 | 25,667 |
| 300 Gbps | 50,800 | 508,000 | 42,333 |
| 400 Gbps | 92,800 | 928,000 | 77,333 |
| 500 Gbps | 368,000 | 3,680,000 | 306,667 |
| 600 Gbps | 428,000 | 4,280,000 | 356,667 |
| 800 Gbps | 498,200 | 4,982,000 | 415,167 |
| 1000 Gbps | 598,200 | 5,982,000 | 498,500 |
腾讯云的业务带宽计价是两段式：600 Mbps 以内（含）100 元/Mbps/月，600 Mbps 以上 75 元/Mbps/月。阿里云是 100–600 Mbps 统一 100 元。所以在 600 Mbps 这个节点上两家一样，超过 600 Mbps 之后腾讯云更便宜。
腾讯云的其他规格项：
| 规格项 | 规格参数 | 计价方式 |
|---|---|---|
| 转发规则数（端口/域名） | 默认 60 个，最高 500 个/单个防护 IP | 超出部分每 10 个 500 元/月 |
| 源站 IP 数 | 1–20 个/单条转发规则（四层 20 个，七层 16 个） | 含在规格内 |
| 每秒新建连接数 | 50,000 个/单个防护 IP | 含在规格内 |
| 并发连接数 | 200,000 个/单个防护 IP | 含在规格内 |
| 弹性防护带宽 | 按当天最高攻击峰值扣减保底后分区间计费 | 按天后付费，次日出账 |
| 弹性业务带宽 | 开启后在已购业务带宽基础上默认增加 1 Gbps | 超出部分 6 元/Mbps/天 |
腾讯云的境外节点单独定价：20 Gbps 保底在香港、台湾、新加坡、东京、硅谷、法兰克福为 27,000 元/月，首尔 30,000 元/月；50 Gbps 在台湾 56,000 元/月，其他境外节点 67,000 元/月；100 Gbps 年付台湾 860,000 元、其他节点 1,152,000 元。有出海业务的需要按目标区域单独询价。
保底和弹性怎么配：两个极端都会浪费钱
保底买低了，被打的时候要按弹性计费，单次攻击可能烧掉几个月的高防费；保底买高了，一年到头没被打，白交的钱够买两套备份。中间有个平衡点，判断依据是历史攻击数据。
如果业务从来没被 DDoS 打过：按最低档配。阿里云 30G 保底 20,800 元/月，或者高级版 5G 保底 19,800 元/月。同时把弹性防护带宽开足（阿里云 30G 保底可配 30G 弹性），弹性没触发不收费。这样平时成本可控，真被打也有缓冲。
如果业务被小流量攻击过（10G 以内）：30G 保底足够，弹性配到 100G 左右。攻击峰值偶尔冲到 50G 也不会超过弹性上限被黑洞。
如果业务被大流量攻击过（50G 以上）：保底至少要覆盖历史峰值的平均值，弹性覆盖历史最高值。腾讯云的建议是"保底选略高于历史攻击平均值，弹性选略高于历史最高峰值"。这个逻辑是对的，因为保底是按月付费，弹性只在触发时按天收费。
如果业务属于易攻击行业（游戏、金融、棋牌、直播）：保底直接按 100G 起配。这类业务的攻击是常态，靠弹性扛每月的账单会比保底贵得多。
还有一个容易被忽略的点：弹性防护有上限。攻击超过保底加弹性的总和，IP 会被黑洞，业务直接断。所以弹性上限的配置不是"配了就行"，而是要看历史最高攻击峰值再留 30% 余量。
业务带宽怎么估：95 消峰的算法
业务带宽配小了会丢包，配大了每月多花几万。阿里云和腾讯云都用 95 消峰的方式统计实际用量，理解这个算法才能把带宽配准。
算法是这样：以 5 分钟为粒度采样，采集入方向和出方向的流量，取较大值作为该采样点的带宽值。一个月按 30 天算，共 8,640 个采样点（腾讯云口径是每天 288 个点）。把这些点按峰值从高到低排序，去掉最高的 5%，取剩下最高的那个值作为月 95 峰值。
这个算法的实际含义：一个月里允许有 5% 的时间（约 36 小时）超过你买的带宽规格而不算超量。换句话说，短时突发不会立刻产生费用，但持续超量一定会被抓到。
实操建议：取过去三个月的 95 峰值，取最大值，再乘 1.3 倍作为采购规格。这个系数覆盖了业务增长和季节性波动。如果业务有明显大促，再单独按大促峰值评估，用弹性业务带宽应对，而不是把保底规格按大促峰值配——大促一年几次，为它全年多付带宽费不划算。
另外注意：攻击流量不计入业务带宽。清洗掉的攻击流量走保底防护能力，只有回源的干净流量才走业务带宽。所以业务带宽的估算跟攻击强度无关，只跟真实业务量有关。这一点在跟厂商对账时要确认清楚，避免被重复计费。
采购前要确认的六件事
- 源站位置和接入方式。源站在阿里云、腾讯云、还是 IDC？在云上的可以用原生防护（不换 IP），在 IDC 的必须用高防 IP 代理接入（换 IP、改 DNS）。这两种方案的价格和架构差别很大，先定这个再谈价格。
- 历史攻击数据。向现有服务商或安全团队要过去 12 个月的攻击峰值、攻击类型、攻击频次。没有历史数据的，按行业平均水平上浮 50% 估。
- 业务带宽峰值。按 95 消峰口径取近三个月最大值，别用平均值，也别用瞬时最高值。
- 需要防护的域名和端口清单。HTTP/HTTPS 域名多少个、TCP/UDP 端口多少个。阿里云免费额度是 50 域名 + 50 端口，腾讯云是 60 个转发规则。
- 是否需要 IPv6。部分行业有 IPv6 改造要求，采购时确认高防实例是否支持双栈。
- SSL 证书。HTTPS 业务要在高防上配证书，证书可以是自有也可以买云厂商的。证书到期会导致业务中断，建议开自动续期。
接入流程与切换注意事项
高防 IP 是代理接入，意味着源站 IP 会变，这是整个流程里风险最高的一步。
第一步，购买实例。选定保底带宽、业务带宽、弹性带宽、功能套餐，选择靠近源站的地域以减少回源延迟。
第二步，配置转发规则。添加域名或端口，填源站地址。七层接入填域名，四层接入填 IP 和端口。
第三步，配置证书和防护策略。HTTPS 业务上传证书；配置 CC 防护阈值、区域封禁、IP 黑白名单。
第四步，改 DNS 或改解析。把域名解析从源站 IP 改成高防 IP 分配的地址。这一步建议在业务低峰期做，并提前把 TTL 调小到 60 秒，方便出问题时快速回滚。
第五步，隐藏源站。切换完成后，源站 IP 已经暴露在历史 DNS 记录、证书透明日志、邮件头等地方，需要评估是否更换源站 IP。这一步很多人漏掉，结果攻击者绕过的高防直接打源站。
整个流程顺利的话半天到一天能完成，但源站隐藏和策略调优通常要观察一到两周。
采购常见问题
DDoS 高防最低要花多少钱一个月？
阿里云 30G 保底 20,800 元/月，腾讯云 30G 保底 19,800 元/月，这是两家中国大陆的最低档。但月费不止保底这一项，业务带宽超出 100 Mbps 的部分要另算，500 Mbps 业务带宽大约加 40,000 元，实际月支出通常在 6 万左右。如果只是想要高防 IP 做源站隐藏、不需要大流量清洗，阿里云高级版 5G 保底 19,800 元/月可以考虑。
没被攻击过，弹性防护要不要开？
要开，而且尽量开足。弹性防护是后付费，没触发不产生费用，开了相当于免费的保险。腾讯云的规则是攻击峰值扣减保底后按区间计费，当天出账；阿里云同样按天计费。不开弹性的后果是攻击超过保底就直接黑洞，业务中断，损失远大于弹性费用。
攻击流量算不算业务带宽？
不算。攻击流量在清洗中心被过滤掉，只有回源到源站的干净流量才计入业务带宽。这一点很重要，意味着业务带宽要按真实业务峰值配，不用考虑攻击强度。如果对账时发现业务带宽用量异常飙升，先排查是不是被绕过了高防直连源站，或者有未清洗的流量回源。
95 消峰是怎么算的，会不会被钻空子？
5 分钟一个采样点，取入方向和出方向的较大值，一个月 8,640 个点排序后去掉最高 5%，取剩下的最高值。允许一个月有约 36 小时超过规格不算超量。想靠"每小时只超 4 分钟"来规避计费基本做不到，因为采样是 5 分钟粒度，且最终按第 95 百分位取整点值，不是按超量次数算。
年付比月付能省多少？
阿里云 30G 保底年付 249,600 元，折合月均 20,800 元，跟月付价持平；60G 保底年付 252,000 元，折合月均 21,000 元，比月付 46,800 元省一半以上。腾讯云 30G 年付 237,600 元折合 19,800 元，也是持平；60G 年付 298,000 元折合 24,833 元，比月付 42,800 元省 42%。规律是低档年付没折扣，中高档年付折扣明显，采购时按这个规律选档位。
买了高防还需要 WAF 吗？
需要，两者防护的层次不同。DDoS 高防处理的是流量型攻击，靠带宽清洗；WAF 处理的是应用层攻击，靠规则引擎识别 SQL 注入、XSS 这类请求。CC 攻击介于两者之间，高防能扛一部分，但精细的应用层识别还是靠 WAF。金融、游戏、电商这类业务通常两层都要，普通企业站如果只被流量型攻击打过，可以先只上高防。
云原生防护和高防 IP 有什么区别，价格差多少？
云原生防护不换 IP，直接在云网络里清洗，适合源站在同一朵云上的业务，配置简单、无回源延迟。高防 IP 是代理接入，要换 IP 改解析，但能保护 IDC 和第三方云的源站，防护能力也更强。价格上原生防护明显便宜，因为不占用独立的 BGP 高防资源。源站在阿里云且攻击量不大的，优先考虑原生防护。
源站 IP 已经暴露了怎么办？
换了高防但不换源站 IP，等于高防形同虚设，攻击者会直接打源站。正确做法是切换完成后更换源站 IP，并把新 IP 限制为只允许高防回源段访问。同时检查历史 DNS 记录、SSL 证书透明日志、邮件服务器头信息、第三方监控服务，这些都是源站 IP 的泄露渠道。这一步做完才算真正接入了高防。
域名和端口超出免费额度怎么加？
阿里云免费 50 个域名、50 个端口，超出按阶梯加价：域名 50 到 200 个区间 30 元/月/个，端口 50 到 150 个区间 50 元/月/个。腾讯云默认 60 个转发规则（端口和域名合计），每增加 10 个 500 元/月，单个高防 IP 最高 500 个。站群类业务域名多，这一项要提前算进预算。
高防能不能按月买，还是要包年？
两家都支持月付和年付。月付灵活但单价高，年付在中高档有明显折扣。建议按项目周期定：短期活动或测试期月付，长期业务年付。另外年付之后如果需要升配，多数厂商支持补差价升级但不支持降级，所以年付前把规格估准，宁可略高不要偏低。
相关页面
本页讲的是高防的价格结构、规格参数和接入流程。想比较不同厂商之间的防护能力差异，或者想看其他安全产品的采购成本，可以看下面几页。
- DDoS 高防厂商横向对比与选型：各厂商清洗能力、节点分布和场景适配差异。
- WAF 厂商横向对比与选型：应用层防护怎么选，跟高防怎么配合。
- 云防火墙价格与规格：网络层访问控制的价格结构和规格参数。
- 日志审计成本测算：攻击日志长期留存的完整算账方法。
- 等保合规咨询与整改：过等保需要哪些安全产品，怎么组合最省钱。
🔗 官方价格与规格直达
以下为各厂商官方产品页入口，点击可直接查看对应产品的官方价格与规格参数。价格与规格以厂商官网公示为准，通过本页链接访问不增加您的购买成本。
- ✓ T级流量清洗能力
- ✓ 秒级清洗调度
- ✓ BGP高防线路
- ✓ 弹性防护带宽
- ✓ 攻击流量可视化
价格与规格数据整理自各云厂商官方文档与公开刊例价，采集时间为 2026 年 10 月。云产品价格与规格会随厂商政策调整，实际以购买页面为准。本站不构成采购决策的唯一依据，具体项目请结合业务实际情况评估。