业务监控显示服务器仍然在线，部分国内用户却持续超时。团队有时会把这类现象直接称为“假墙攻击”，但网络路径、运营商解析、CDN 入口、源站防护和应用故障都可能产生类似结果。
先证明服务器是否真的健康
- 源站和边缘节点是否都有正常请求。
- 服务器出口带宽、连接数和负载是否异常。
- 从不同外部网络访问是否正常。
- 业务成功率是否只在特定地区下降。
服务器自身指标正常只能说明资源没有耗尽，不能证明入口链路完整。
按层记录失败位置
| 阶段 | 证据 | 含义边界 |
|---|---|---|
| DNS | 权威记录、公共解析器、TTL | 解析错误与网络阻断需要继续区分 |
| TCP | 连接超时、重置或成功 | 成功不代表 HTTP 正常 |
| TLS | 证书链、SNI、握手结果 | 失败可能来自证书或中间链路 |
| HTTP | 状态码、响应头、请求 ID | 任何状态码都说明某个服务有响应 |
| 源站 | 访问日志、连接日志、应用日志 | 决定请求是否穿透到后端 |
DDoS/CC 的常见反证与证据
DDoS 通常在网络、连接或带宽指标上留下异常；CC 更可能在请求路径、应用资源、登录或搜索接口上形成压力。如果源站没有收到对应请求，不能直接用 WAF 拦截数解释用户失败。
多线路探测只是样本
全国节点出现超时，需要重复测试并加入对照域名。节点自身故障、DNS 缓存和测试起点都会造成假阳性。不要把“000 比例高”直接写成确定性攻击结论。
处置顺序
- 保护源站直连入口。
- 确认解析和证书是否仍正确。
- 保留边缘与源站日志。
- 用备用入口验证业务链路。
- 确认问题属于攻击、线路还是应用后再调整规则。
说明：本文独立整理域名入口异常与 DDoS/CC 混合场景的工程判断，不包含第三方联系方式、商业跳转步骤或未经核验的效果承诺。