遊戲伺服器 DDoS 防護怎麼買？先列攻擊面，再對報價單
晚上七點開服，人潮進得比預期還快。七點零六分，配對服務停止回應；頻道裡先是有人問「是不是在排隊」，然後是罵聲。八點前，信箱裡躺進一封信：付錢，攻擊停。
這樣的一天，常有團隊碰上；攻擊就長這個形狀。Gcore 的 2025 下半年（Q3–Q4）報告裡，七成五的網路層攻擊（把通道塞滿的那種）持續不到一分鐘——打你一下就收手，等你反應過來，那扇窗已經關了；光是 2025 年第四季，攻擊量就是前一年同期的兩倍半。想等被打了再買防護、再切節點，時間都不站在你這邊。
所以這篇不講「被攻擊了怎麼辦」，講遊戲 DDoS 防護要怎麼在開服前買對。方法只有兩步：先把自己的對外服務當成攻擊面盤一遍，再拿這張清單去對報價單。都自己能做；對到看不懂的欄位，後面有出路。
遊戲伺服器被攻擊那天，時間線為什麼這麼短
兩個反直覺的事實先擺在這。Gcore 網路上最大的一次攻擊，6 Tbps 的洪流，相當於上百萬路高清直播同時灌進同一個入口，打的是遊戲主機。遊戲伺服器至今仍是攻擊者偏愛的靶子。而「遊戲是最被攻擊的行業」這句老話該更新了：同一份報告裡，科技業吃下 34% 的攻擊、金融 20%，遊戲佔 19%，跌出第一、仍在前三。
比例下降不等於日子好過。遊戲的麻煩在動機。別的行業多半是順手被打，遊戲是被點名打。為什麼偏偏是你？開服日是全平台人最齊的一天，賽事決賽日是對手最想攪局的一天，這些日子在香港與台灣的遊戲圈行事曆上是公開的。被封禁的玩家回頭報復、競爭對手出錢攪局、直接勒索，動機也比別的行業具體。攻擊花的是小錢，防守要花的是天天待命的錢。
數據來源: Gcore Radar DDoS attack trends Q3–Q4 2025：科技 34%、金融 20%、遊戲 19%；75% 網路層攻擊持續低於一分鐘；最大單次 6 Tbps 攻擊目標為遊戲主機（2025 年 10 月）。
時間線短的癥結在這裡：攻擊便宜、反應慢。靠偵測到攻擊才啟動的按需防護，追不上幾十秒的脈衝；真正接得住的，是開服前就已經就位的防護。這也是為什麼防護的採購判斷，要從「多大、多貴」挪到兩個更根本的問題：攻擊會打我哪裡，我多快能恢復。
攻擊會打你哪裡？
採購防護時手裡通常只有一個數字：清洗頻寬多大。先把清洗這個詞翻譯掉：把進到你伺服器的流量裡的攻擊垃圾沖掉、只讓正常流量通過的那個動作。頻寬多大，說的就是這個動作一次能沖多大的量。但那個數字答不了的，恰恰是攻擊會打哪一層。這個問題報價單答不了，得從你自己的服務架構答起。
把對外的服務攤開，通常就五類：登入、配對、房間（對局）伺服器、更新包分發、官網與後台。每一類被打倒的樣子不一樣：登入掛了，玩家擠在門外；配對掛了，進了門找不到桌子。房間掛了，牌打到一半突然斷線，這是罵聲最響的一種。更新包掛了，新版本玩家進不來、舊玩家還在。官網掛了，看熱鬧的人和記者一起看見你的服務停擺。
常見的返工場景就長在這裡：入口買了不便宜的高防 IP（在入口前面掛一個獨立防護位的商品），攻擊繞過入口直接打配對。香港節點選型那篇把 DDoS 防護拆成四層（入口、遊戲閘道、備援、營運），講的就是這個結構。高防 IP 只護四層裡的一層，不是全套。
清單列完，再補三個數字：停機一小時損失多少錢、可以接受的恢復時間多長（被打之後多久要能重新進人）、正常業務頻寬多大。這張清單加三個數字，是你跟任何一家廠商談防護的底牌；後面報價單的每一行，都要拿回來對它。
圖把五類服務和四種商品形態連了起來。看不懂中間的形態沒關係，下一節逐個講。
四種 DDoS 防護商品的差別
所有防護商品的差別，說穿了就是清洗這個動作發生在鏈路的哪一段、誰來收這個錢。
最先該查的是你已經付錢的那家雲。清洗長在你用的雲裡面，以 AWS 為例：所有客戶免費帶 Shield Standard，擋網路層的常見洪泛；用 GameLift 託管遊戲伺服器的團隊還能再加兩層同樣免費的。一層是預設開啟的 Enhanced DDoS Protection，不用改程式就生效；另一層是 Player Gateway，護的是走 UDP 的對局流量：玩家每個連線憑一枚令牌進場，像進場手環，沒有手環的封包到不了真實伺服器；代理被打掛了可以換新的，真實位址始終不露面。
數據來源: AWS 用 GameLift 防 DDoS 的官方說明（Enhanced DDoS Protection 預設開、零整合；Player Gateway 免費、經 GetPlayerConnectionDetails API 接入，2026 年 8 月發布）與 AWS Shield 定價頁（Standard 免費）。
邊緣代理把清洗放在廠商的邊緣網路，Cloudflare 的 Spectrum 是代表。這一種有兩個很多人買完才發現的坑。一是協議清單：Pro 與 Business 檔只涵蓋 SSH（工程師遠端登入機器用的）、Minecraft，外加 RDP（Windows 遠端桌面），你自家遊戲的自訂 TCP/UDP 協議不在裡面，要走企業合約。二是月配額：這兩檔每月含 5–10GB 清洗量，超出按每 GB 一美元收，是包月之外加一筆，不是攻擊再大都有人扛的彈性帳。自訂協議護不護，照樣是遊戲團隊詢價的第一問。
數據來源: Cloudflare Spectrum 產品頁（分檔涵蓋協議、月配額 5–10GB、超量 US$1/GB，2026-09 採集）。
伺服器不在雲上、只想護特定入口的，走的是高防 IP 與清洗代理這條路：在你的入口前面加一個獨立防護位，流量先到它那裡洗過，再回到你伺服器。騰訊雲國際站的 Anti-DDoS 分三層：Basic 是隨公網 IP 免費的基線，Advanced 是高防包（預付一檔防護量、綁在你的雲資源上），Pro 是獨立的高防 IP；阿里雲國際站的 Anti-DDoS Proxy 則用域名指向把流量先引到清洗網路、洗完再回源（送回你的伺服器），頁面示價從每月 2,630 美元起。華語市場常聽到的「遊戲盾」，多半是這一類的遊戲特化版：SDK 或調度接入、按協議逐個調。
數據來源: 騰訊雲 Anti-DDoS 產品文檔（Basic/Advanced/Pro 三層結構）；阿里雲 Anti-DDoS 定價頁（境外 Anti-DDoS Proxy 每月 2,630 美元起，2026-09 採集）。
最後一種是高防主機，清洗直接做進機房的頻寬裡，香港與台灣市場上很多主機商賣的就是這種。單機自託管、不想碰架構的小團隊最省事，代價是遷移彈性小、報價透明度看主機商良心。
| 商品形態 | 清洗在哪一段 | 典型計費 | 適合誰 |
|---|---|---|---|
| 雲原生 | 你用的雲平台內建 | 多為免費基線＋付費升級 | 遊戲服本來就跑在雲上的團隊 |
| 邊緣代理 | 廠商邊緣網路 | 按檔位月費＋流量超量 | 官網、登入與標準協議服務 |
| 高防 IP | 獨立防護位，域名指向或代理接入 | 按防護規格預付，部分可後付 | 伺服器在別處、只護特定入口 |
| 高防主機 | 機房頻寬內建 | 打包進主機月費 | 單機自託管、不想碰架構 |
四種形態沒有誰一定贏，挑選的第一依據是你上一節列的攻擊面清單：房間伺服器被點名打，就要先問「我的自訂協議你護不護」，自家協議是哪種，問做連線的人一句話就有答案；官網和登入被打，邊緣代理就夠上場。另外記一筆：流量繞去清洗，路就長了一截，延遲會多一點，對局服務對這個敏感，清洗放在哪一段也值得比。形態選錯，價格再漂亮都是白花；形態選對，才有比價這件事。哪種形態合你的清單拿不準，把清單帶到 Telegram 先對形態、再談價。
防護的預算是兩筆錢
防護的預算，最常見的錯法是只編一筆。實際上它是兩筆。
第一筆買清洗量，路徑分三檔。免費基線先確認護到哪，這是零成本的第一輪。常態風險用包月護，例如 AWS Shield Advanced 每月 3,000 美元起、一年合約，換到的是應用層防護（擋那些看起來像正常玩家的請求）與攻擊期間的帳單保護，另外還有原廠響應團隊，要用它得再配 AWS 的付費支援方案。尖峰風險靠彈性清洗，清洗中心按攻擊當下的實際量計費，攻擊越大、帳單那一行越長；這種模式各家叫法與收法不同，要逐家問清楚。
第二筆買恢復。備援節點、故障切換、攻擊演練，這些錢多半不在「DDoS 防護」的報價裡，但攻擊那天的實際損失由它們決定。台灣玩家那篇拆過備援的邊界：切換接得住新連線，接不住進行中的對局。恢復的目標，是把「對局斷掉」的時間壓到最短；零中斷不歸這筆錢管。
數據來源: AWS Shield 定價頁（Advanced 每月 3,000 美元起、一年合約；攻擊期間的擴容費用有 cost protection 機制）。
這兩筆加起來，跟停機一小時的損失對：如果一年的防護總支出低於一小時的損失，這筆帳不用猶豫；反過來，如果防護報價遠超你的停機損失，問題就從「買不買」換成「買多少清洗量才剛好」。被打的團隊大多不是百萬人規模，報價也不該按那個量級編。
拿到報價單先核五行
不管報價來自香港的高防主機、新加坡的清洗代理還是某朵雲的升級方案，拿到手先核這五個地方。
先看清洗量怎麼給：是這個價位獨享一檔保底，還是共用一個大池子照先後排？清洗頻寬、業務頻寬、彈性峰值三個詞在報價單上長得像，意思差很遠：清洗說的是能擋多大的攻擊，業務說的是正常玩家用得了多少，彈性峰值說的是超出之後從哪一檔開始加價。混淆的代價，通常攻擊那天才知道。
超量條款藏在合約裡。超出套餐上限之後，是按量計費還是停止清洗，要先問；按量那筆帳怎麼滾大的，直播 CDN 帳單暴增那篇拆過一遍。
免費額度與合約前提要展開看。免費基線護的是哪一層、什麼情況失效；包月方案鎖不鎖年期。AWS Shield Advanced 一年合約、每年自動續，這種條款要提前知道，不是續約時才知道。
開通與生效的時效，要問到明確答覆。高防資源多數要預付，開通要走流程；賽事或開服在即才去加購，大概率趕不上。與其到時候搶，不如把「最快什麼時候生效」當成詢價的固定一問。
最後一行不在報價單上，要自己問出口：清洗會不會誤傷正常玩家。手機網路的玩家常共用少數幾個出口位址（行話叫 CGNAT），清洗規則一收緊，整個出口被擋，幾百個真實玩家跟著攻擊一起陪葬。廠商怎麼處理這種情況、有沒有白名單或分級清洗，是第五個要問到答覆的地方。
這五個地方核完，幾家報價才放在同一張桌上；還看不懂的欄位，帶著問題往下看。
演練、切換邊界，還有那封勒索信
防護資源到位之後，還有一件最常被跳過的事：開服前自己演練一次。先把 DNS 的 TTL 調低（TTL 是域名記錄的快取時長，調低之後切換才走得快），再從台北和香港各發一輪測試流量，看清洗規則有沒有生效、告警送到誰手上、切換腳本跑不跑得動。自己在家能測的是這三樣；清洗中心真實扛得住多少，要請廠商做授權演練才算數。被打那天你會做的每個動作，都值得先做一遍——只是那時候做錯的代價，是罵聲。
切換的邊界也趁演練量出來：備援接得住新登入與新配對，接不住正在打的那局，加上 DNS 快取過期也要時間，把恢復目標定在「幾分鐘內接住新連線」，就不會被「無縫切換」的說法帶偏。
勒索信是另一件要提前想的事。Cloudflare 在 2025 年第二季問過自家客戶，約三分之一受訪者收過勒索型 DDoS 的信。要不要付，這篇不替你答；但兩個事實可以幫你想清楚：發動這種攻擊幾乎沒有門檻，付錢買不到「最後一次」；讓勒索真正失效的組合，是清洗買對了加恢復練熟了。攻擊者要的，正是你這兩樣都還沒有。
數據來源: Cloudflare Radar DDoS 威脅報告（2025 全年緩解 4,710 萬次攻擊，年增 121%；2025 年第二季調查中約三分之一受訪客戶通報遭勒索型 DDoS）。
防護這筆錢，買的是被打那一天還站得住：登入開著、配對在動、玩家進得來。恢復得越快，勒索信越不值錢，罵聲也越短。
報價單已經在桌上的，帶著清單和三個數字來 Telegram 找我，一行一行核完再決定花不花。
關於新星雲
這篇裡的判斷，多半來自幫團隊核報價單的那幾個工作日。新星雲是一個人營運的獨立顧問服務：不掛任何雲廠商的授權牌，所以各家敢照實比；你拿著方向自己買也行，要代訂再談。訊息不在工作時間，回覆會慢一些；要對英文原廠工單，我可以代開。
相關閱讀
- 香港遊戲伺服器節點怎麼選？：防護四層結構與節點選擇，這篇往下講怎麼買。
- 台灣玩家連香港還是新加坡？：備援與就近分流的邊界，本文恢復那一筆的延伸。
- 開服被打、半夜故障怎麼活？遊戲容災設計的四步：本文「恢復那一筆」的展開——定恢復目標、選備援形態、把防護接進架構。
- 前進新加坡做互動直播，6 類雲服務的採購清單與預算邏輯：同樣的採購方法論，用在直播側的完整示範。
- 開服防護評估：這篇對應的服務頁，風險面盤點、方案比對與條款檢查的流程說明。
- 遊戲伺服器節點選型：節點與防護要一起判斷，這頁有自查維度。
- 回到部落格總覽看其他選型與防護文章。
FAQ
免費的基線防護夠用嗎？
對 L3/L4 的流量洪泛，各大雲的免費基線（例如 AWS Shield Standard）多半擋得住，這部分不用額外花錢。不夠的地方有兩個：應用層攻擊（打登入、配對這種看起來正常的請求），以及自訂遊戲協議的清洗。這兩項要對照你自己的對外服務清單逐項確認，不是看防護等級標籤。
被攻擊了現在才買防護，來得及嗎？
擋住正在打你的這一次，多半來不及：據 Gcore 的 2025 下半年報告，七成五的網路層攻擊持續不到一分鐘，而高防資源多數要預付、開通也要時間。但防護採購本來就不是為了擋那一次；下一次攻擊前就位，才是這筆錢的用途。
遊戲 DDoS 防護一個月大概要多少錢？
跨度很大，只能給官方示價當錨點（2026 年 9 月採集）：AWS Shield Advanced 每月 3,000 美元起、一年合約；Cloudflare Spectrum 月配額超量約每 GB 一美元；阿里雲國際站 Anti-DDoS Proxy 從每月 2,630 美元起。高防主機與高防 IP 的報價各家口徑不同，拿到報價先核對計費範圍再比單價。
攻擊流量超過套餐上限會怎麼樣？
看合約條款。一是超出部分按量計費，攻擊結束後收到一張不小的帳單；二是超量之後防護方會做什麼，要當成問題去問：會不會停止清洗、會不會暫時封掉你的 IP，兩種答案在玩家眼裡都是斷線。買之前把「超量之後發生什麼」問到明確答覆。
自訂的 UDP 遊戲協議可以被清洗嗎？
可以，但要看商品支不支援你的協議。邊緣代理類商品通常有協議清單，例如 Cloudflare Spectrum 的低階方案只含 SSH、Minecraft 與 RDP，自訂 TCP/UDP 協議要走企業合約；高防主機與遊戲盾類則按協議逐個調。自己的遊戲協議能不能被清洗，是詢價時第一個要問的問題。
收到勒索信，該不該付錢？
這篇不替任何人做這個決定，但給兩個事實：發動攻擊幾乎沒有門檻，付了之後再被打一次門檻也不高；真正讓勒索失效的，是「攻擊打不進來」加「恢復得夠快」的組合，也就是前面說的兩筆錢。把恢復能力準備好，勒索的籌碼自然變小。