防护带宽买得过小，攻击流量可能先堵住入口；一味按最大值购买，又可能造成资源浪费。网络攻击防护带宽估算方法的关键，是把正常业务流量、需要承接的攻击峰值和链路瓶颈放在一起核算，而不是只看平日平均值。
先明确要估算的是什么
先区分两个指标：防护带宽通常指系统可处理的流量规模，业务出口带宽则是线路能传输的数据量。即使防护设备标称能力充足，如果上游线路先被打满，业务仍可能中断。还要关注包速率：大量小数据包可能在带宽尚未达到上限时，就让设备的每秒处理能力吃紧。
十大核算因素：从业务到链路逐项检查
- 正常业务基线：查看入口和出口的日常流量，并记录繁忙时段峰值；不要以全天平均值代替峰值。
- 合法流量突发：在线预约开放、促销或内容发布会带来短时访问增长，应把预期业务增量单独计入。
- 历史攻击峰值：如有流量记录，区分攻击期总流量与确认的恶意流量，避免把两者重复相加。
- 攻击类型：UDP洪泛、TCP SYN洪泛和大量HTTPS请求对带宽、包速率及计算资源的压力不同，不能只用一个带宽数字概括。
- 峰值持续时间：短时尖峰和持续数小时的高流量，对清洗容量、线路资源和费用规划的要求不一样。
- 包速率：核对每秒数据包数及设备处理上限，特别是小包密集的场景；仅比较Gbps可能遗漏瓶颈。
- 受保护范围：统计需要保护的公网服务和入口，确认它们是否共用线路、地址段或防护资源。
- 线路实际容量：核实接入线路的标称带宽、可用带宽及上下行限制。防护能力不能替代上游链路容量。
- 清洗后回传能力：确认正常流量清理后，回到业务侧的链路是否够用，路径是否存在额外限速。
- 增长与冗余：结合业务增长速度、历史数据完整度和故障影响，留出适当余量；这不是固定比例，应定期复核。
按步骤算出规划值
- 收集至少覆盖业务高峰周期的入口流量、出口流量、包速率和可用线路容量记录；没有攻击记录时，标注这一不确定性。
- 确定业务高峰时的合法流量基线，并单独估计活动、季节变化等可预见增量。
- 选取有记录的攻击峰值作为参考。若记录的是攻击期间总入口流量，就不要再加一次正常流量；若记录的是恶意流量，则与同期合法流量合并评估。
- 将带宽与包速率分别对照防护设备和上游线路的能力，再检查清洗后回传链路。
- 用低、中、高三种情景复算：历史数据充分时，以实测峰值为主要依据；数据不足或增长较快时，提高预留空间，并写明假设条件。
可用“攻击期间总流量峰值 × 冗余系数”作初步规划框架，但系数应根据数据可信度、增长预期和线路限制确定，不能视作通用保证值。网络攻击防护带宽估算方法最终应落到具体容量、包速率及链路承载能力的共同校验上。
询价和复核时别只看一个数字
对比方案时，问清标注的带宽是可处理的攻击流量、攻击期间总流量，还是正常业务可用带宽；同时核对包速率上限、保护范围、超限处理方式及清洗后回传容量。攻击形态和业务基线会变化，建议在流量明显增长、入口调整或防护方案变更后重新估算。
常见问题
日常带宽利用率低，是否可以按低值配置？
不宜只按日常利用率判断。还需考虑合法业务突发、攻击期间流量和上游线路容量。
Mbps和Gbps怎么换算？
按常见十进制网络标注，1Gbps约等于1000Mbps；比较设备和线路参数时应统一单位。
有带宽指标，还需要看包速率吗？
需要。小包密集时，设备可能先达到包处理上限，带宽数字并不能完整反映承载能力。
多久复核一次估算结果？
没有适用于所有业务的固定周期。流量基线、业务规模或线路发生明显变化时，应及时重算。稳妥的网络攻击防护带宽估算方法，是持续用实测数据校正规划值。
