游戏被 DDoS 打了怎么办？五家高防免费档与三家的 $3,000 档分别防什么（2026）

游戏被 DDoS 打，第一件事不是买高防，是算清楚攻击期间谁付流量费。五家云的免费档都在边缘挡 L3/L4（网络层和传输层的流量攻击），而真正卖到 $3,000 量级的只有三家，那三家卖的正是账单保护。

这五家指的是 AWS Shield、Azure DDoS Protection、GCP Cloud Armor、阿里云 Anti-DDoS（国际站）和腾讯云 EdgeOne。它们的免费档名字各不相同，但干的事高度一致：在离攻击最近的地方把流量卸掉。真正的分岔出现在付费档，分的是账单怎么算，清洗能力没有因此分档（后文细讲）。

如果你此刻正在被打，先别下单买高防：真正救不了眼前这一小时的原因是顶档订阅不回溯：账单保护只保护订阅之后发生的攻击，你现在买了也保不住已经产生的账单。AWS、Azure、GCP 都能在控制台自助订阅，年承诺在线勾选，不是卡在核验；阿里云、腾讯云国际站另有实名与企业资质核验，会更慢。下面四步按顺序做，做完再看后面的选型。

这 60 分钟清单请直接转给技术或运维负责人执行。 如果你是签字的老板，你的决策点只有三个：授权他们动生产配置、批预算、让商务去问顶档开通。

游戏正在被 DDoS 打：头 60 分钟照着做

第 1 步（0–10 分钟）：先判是 L3/L4 还是 L7

两类攻击的止血动作完全相反，判错了等于浪费最宝贵的十分钟。看三张图就能分型：负载均衡或 CDN 的带宽/包量图、后端应用的 CPU 与 5xx（服务器报错数）图、热点接口的 QPS（每秒请求数）图。小团队如果没有这些看板，用替代信号也能判个八九成：玩家集中投诉「全体卡死/登录不上」偏 L3/L4，投诉「登录不了但官网能开」偏 L7 CC。

判据	L3/L4 流量型	L7 应用层（CC）
监控图形状	带宽或包量秒级打满，源 IP 高度分散、多端口多协议（SYN、UDP 等协议型洪水，以及反射放大攻击）	带宽未必大，单个或几个 URL 的 QPS 异常抬升，5xx 同步上涨
玩家表现	全体同时卡顿、登录服整体不可达	能打开官网和商城，但登录、排队、开礼包、充值回调等个别接口超时
止血方向	靠边缘清洗（免费档已自动在挡）+ 源站隐藏 + 带宽封顶	靠 WAF（Web 应用防火墙）速率限制、验证码挑战、接口签名校验

查看位置：AWS 看 Shield 控制台的 Events 和 CloudWatch 指标，Azure 看 DDoS Protection 的攻击指标与诊断日志，GCP 看 Cloud Armor 日志和负载均衡监控，阿里云、腾讯云国际站看高防或 EdgeOne 控制台的安全事件页。拿不到安全控制台权限时，只看负载均衡监听器的流量图也能分型：整体抬升是 L3/L4，单接口抬升是 L7。

第 2 步（10–25 分钟）：六条止血动作，按顺序执行

1. 确认源站 IP 没裸露：安全组或网络安全组只放行 CDN、负载均衡的回源地址段，SSH、RDP 等远程管理端口只允许公司 IP 或堡垒机（运维专用的跳转入口）登录。发现源站 IP 已被攻击者点名，立刻换一个弹性 IP。要注意：换 IP 保的是新连接的入口，已经在打的对局会话绑在旧 IP 上，切换即断线，体感是整批玩家掉线重连。所以要么选在低峰期切，要么客户端必须有多端点重连兜底，别指望「平滑」。
2. L7 先给热点接口上限速：登录、排队、礼包、签到这类接口按每 IP、每会话设速率规则，阈值先按正常峰值的 3 到 5 倍设，观察误伤后再收紧；命中规则后先弹验证码或 JS 挑战（浏览器人机校验），不要一上来直接封 IP。伪造充值回调这类攻击，要在应用侧止血：校验回调签名和时间戳，加一次性随机数防止同一笔请求被重复提交，回调端只放行支付厂商公布的来源地址段。
3. L3/L4 确认入口收敛：入口要分两类，别混为一谈。Web 和资源下载走 CDN；实时对局（UDP、长连接）不走 CDN，走的是四层负载均衡（AWS NLB、Azure Load Balancer、阿里/腾讯的四层转发）或 Global Accelerator 这类 L4 通道。两类入口都要确认没有任何域名或客户端配置直连源站 IP。能临时关闭的 UDP 端口先关掉，必须用 UDP 的游戏服可在客户端强制更新里换端口。但换端口前先确认你买的防护产品支持这个端口和协议，多数防护默认只保 80/443，自定义端口需另外配置四层转发。
4. 给弹性带宽和自动扩容设硬上限，攻击期间把扩容策略切成手动或保守档，先保登录服和排队服，非关键的对战、大厅服务可以降级。这一步直接掐断本文后面讲的第二、第三个账单放大器。
5. 开两档预算告警：在云厂商的预算功能里按预估月账单的 110%、150% 各设一条（AWS Budgets、Azure Cost Management 的预算告警、GCP 的 Billing budgets），让账单失控在当天就被看见，而不是月底才发现。
6. 让商务或代理同步去问顶档开通，但心里要有两条：开通不回溯，正在发生的账单大概率要自己先扛；新订阅的身份核验、合同与付款需要时间，救不了眼前这一小时。

第 3 步（25–45 分钟）：留证据，决定事后账单能不能减免

顶档的账单保护全部是事后申请、由厂商认定，证据在攻击中留，攻击结束后补不齐。

• 截三张带时间轴的图：攻击时段流量监控、清洗或 WAF 事件日志、当期账单与用量页。
• 导出两类原始日志：L3/L4 导出负载均衡流量日志或 VPC Flow Logs（私有网络里的流量流水记录），L7 导出 Web 访问日志，至少覆盖攻击开始前半小时到攻击结束。
• 立刻开支持工单并记下工单号：标题写明正在遭受 DDoS、附开始时间、攻击类型、业务影响与已采取的动作。没有付费支持计划也先从控制台支持中心开工单（账单与账号类入口所有账号可用），请求值班团队给出缓解指引；有顶档或高级支持计划的客户，AWS 点名要 Shield Response Team（需 Business 或 Enterprise 支持计划）、Azure 要求接入 DDoS rapid response、GCP 请支持团队对接值班，阿里云和腾讯云国际站开工单并同时通知渠道经理。

第 4 步（45–60 分钟）：看两条曲线，决定打完后买什么

对比边缘入口流量和源站出站流量（CDN 回源时从源站拉走的流量）：边缘高、源站平稳，说明免费档正在把攻击吃掉，保持观察即可；两条曲线一起抬升，说明攻击穿透到了源站，回到第 2 步继续收紧，并对照本文后面的三类游戏选型表评估订阅顶档。攻击结束后，订阅了顶档的账号要在厂商规定时限内主动提交账单保护申请，工单编号、日志和截图就是申请材料；本文后面有三家申请路径的具体说明。

五家云高防的免费档，分别防到什么程度？

五家免费档都能自动缓解一部分攻击，但覆盖的攻击层和超额后的处理方式不一样。

先说清楚一个全文高频词：清洗，指在边缘节点把攻击流量识别出来丢掉、只放正常流量回源，不是你手动操作的动作，免费档默认就在做。

五家真正需要拿来对比的，是超出自家的容量上限之后会发生什么，而不是「谁能清洗」。这一条对游戏业务是致命的：阿里云 Anti-DDoS Basic 在打满免费额度后会进入黑洞（一段时间内把这个 IP 的流量整个丢弃），对游戏服等于全服掉线，不是变慢。AWS、Azure、GCP 的默认防护在超出后更多是限速或调度，官方不承诺具体行为。所以「免费档能挡」这句话要补一句：挡不住的时候，代价不一样。

AWS Shield Standard 对全部 AWS 用户自动启用，官方描述是防护「常见、最频发」的网络层和传输层攻击，也就是 L3/L4，不需要手动开启。Azure 的 DDoS Infrastructure Protection 免费且自动，覆盖所有使用公网 IPv4 和 IPv6 的 Azure 服务，官方写明无需配置、无需改动应用。GCP 的基础 DDoS 防护对 Cloud Load Balancing 用户默认生效，清洗在 Google 边缘完成，攻击流量不进入 VPC；Cloud Armor Standard 则是不订阅、按量计费的防护策略入口。腾讯云 EdgeOne 的 Free 档 $0，官方套餐表里写明含平台默认 DDoS 清洗（自动缓解超过 100 Mbps 的攻击流量）和免费漏洞防护规则集，但含 OWASP Top 10（十类常见 Web 漏洞）的托管规则集要从 Basic 档起才有。阿里云 Anti-DDoS Basic 对选定的云服务免费提供清洗，官方口径是 500 Mbps 到 5 Gbps，具体额度随区域不同。

免费档有一个共同天花板：它挡的是流量，不是业务逻辑。L7 的应用层攻击，比如针对游戏登录接口的 CC 攻击、伪造的充值回调，免费档默认策略拦不住，要靠 WAF 和自定义规则。最小配置是三件套，全部可以在被打当天补上。第一，对登录、排队、礼包兑换这类热点接口，按单 IP 加 10 分钟窗口的速率限制，阈值先压到正常峰值的 3 到 5 倍，命中后弹验证码或 JS 挑战，先观察误伤再决定要不要封。第二，对充值回调接口做服务端签名校验、时间戳有效期加一次性随机数防重放，并用地址白名单只放行支付厂商公布的回调来源。第三，把 WAF 日志接到告警，单接口 QPS 或 5xx 比例任一突破历史基线就通知值班。这类规则五家的商用 WAF 都支持：AWS WAF、Azure WAF、Cloud Armor 标准策略按规则数与请求量另计费，腾讯云 EdgeOne 含 OWASP Top 10 的托管规则集从 Basic 档起提供。

容量上还有一个必须认清的边界：AWS、Azure、GCP 三家从不公布免费档的清洗容量上限，官方材料里查不到”最多能扛多少 Gbps”这个数字，官方材料里查不到这个数字，第三方给出的容量也无法回溯到厂商口径。五家里只有阿里云给了免费档的明确容量区间（500 Mbps 至 5 Gbps，随区域浮动），腾讯云写的是超过 100 Mbps 自动触发清洗，那是触发阈值，不是容量上限。判断免费档扛不扛得住，不要等一个不存在的数字，看三个打穿信号：边缘入口流量抬高时，源站入流量和负载均衡并发连接数是否同步抬高；源站出网用量或带宽监控是否出现与玩家在线曲线无关的突增；玩家是局部卡顿还是大面积超时、登录服整体不可达。三个信号同时出现，就是攻击穿透了边缘，按本文开头的应急清单处置并评估付费档，而不是继续猜免费档的底牌。

数据来源：AWS Shield 定价页、Microsoft Learn 的 Azure DDoS Protection 层级对比文档、Google Cloud Armor 定价页、腾讯云 EdgeOne 官方套餐表与阿里云 Anti-DDoS 产品说明，均为 2026-10-05 抓取。

免费档和 $3,000 档之间，差的是什么？

差的不是「能不能清洗」，是账单归属、L7 策略和响应人这三件事。免费档之间清洗能力差别不大，真正的分档发生在付费档：按容量、按次数、按防护带宽拉开。

这是整篇最值得记住的一句话。免费档已经在边缘清洗了，把它和顶档拉开距离的是三件免费档给不了的东西。

第一件是账单保护，也是 AWS Shield Advanced 这类顶档订阅真正在卖的东西。攻击流量被打到你的负载均衡或源站时，它照样会算出网流量费，这笔钱不会因为「是攻击」就消失，除非厂商明确承诺承担。AWS Shield Advanced 的 DDoS cost protection、Azure Network Protection 的 cost protection、GCP Cloud Armor Enterprise Annual 的 DDoS bill protection，卖的都是这一条。Azure、GCP 的中间档都拿不到这一项：Azure 的官方层级对比表里，IP Protection 栏的 cost protection 直接标着 Not available；GCP 的 DDoS 账单保护也只在 Annual 档提供，Paygo 档没有，官方还写明申请赔付的前提是项目已登记在 Annual 订阅下。

要留意的是，账单保护不是自动减免。AWS 官方写明它以 service credit 形式返还，需要在攻击发生后主动提交申请、由厂商认定，而不是月底账单自动打个折。把它读成「打了就不用付」迟早要踩坑。

三家的申请入口、时限和材料各不相同，下表按 2026-10-17 抓取的官方文档对齐：

项	AWS Shield Advanced	Azure DDoS Network Protection	GCP Cloud Armor Enterprise Annual
申请入口	Support Center 开账单类工单，主题行写 “DDoS Concession”	攻击缓解后开 support request	Cloud Console 联系 Cloud Billing Support（含在线客服入口）
申请时限	攻击所在账单月结束后 15 天内提交，逾期不受理	官方未公布固定窗口	官方未公布固定窗口
必交材料	每次事件的起止时间、受影响服务与具体资源 ID	DDoS analytics 导出的攻击证据、受影响资源与扩容记录	结算账号、项目编号、被攻资源公网 IP、攻击起止时间、正常流量基线、攻击流量数据
认定与返还	SRT 核验攻击是否发生、资源是否为吸收攻击流量而临时扩容，AWS 认定后发 service credit，12 个月有效	微软凭记录认定，对扩容计算费和数据传输费发 credit，无固定金额上限	Google 认定为合格攻击事件后发 credit，只能抵扣未来账单，不能抵已出账单
攻前门槛	资源攻前已在保护中；CloudFront、ALB 等须已关联 WAF web ACL 且启用 Block 模式的速率限制规则；遵循官方 DDoS 韧性最佳实践	仅 Network Protection 含此项，IP Protection 明确不含	项目攻前已登记到 Annual 订阅下，Paygo 不含

可减免的范围也要逐家看条款：AWS 官方列举覆盖 Shield 数据传出、CloudFront 请求费与数据传出、Route 53 查询、Global Accelerator 数据传出、ALB LCU（负载均衡容量单位），以及攻击中为吸收攻击流量自动扩容的 EC2 实例费，注意最后一项仍要 SRT 逐案认定；Azure 覆盖 WAF 与 Firewall 数据处理、VM/AKS 及后端 PaaS（SQL、Cosmos DB、Storage、App Service）扩容、被放大的出站带宽；GCP 覆盖三类费用里被认定为攻击造成的增量：负载均衡、Cloud Armor，以及出网、跨区、跨 AZ（可用区）流量。

三个日历上的提醒：AWS 的 15 天从账单月结束起算，不是从攻击结束起算，跨月攻击要在日历上标两个日期，应急第 3 步留的日志和工单号就是这张表要交的材料；Azure 和 GCP 没写时限不等于随时可申，证据新鲜度决定认定速度；三家的 credit 都不是现金退款，只能在自家账单体系里抵扣。

数据来源：AWS WAF 开发者指南·DDoS service credit 申请、Azure DDoS 设计指南·Cost protection 与 Azure DDoS Protection 概览、Google Cloud Armor Enterprise·DDoS bill protection，2026-10-17 抓取。AWS 另有 Shield SLA 信用条款，那是服务可用性 SLA，与攻击账单保护是两件事，不要走错申请入口。

第二件是可配置的 L7 策略。AWS Shield Advanced 订阅内包含应用层 DDoS 防护托管规则组，官方口径是每个付款账号每月含 500 亿次 WAF 请求额度，被 Shield Advanced 识别为 DDoS 的请求不占这个额度（官方 Shield 定价页「Pricing overview」段）。免费档拿不到这层。

第三件是人。攻击真打起来，有没有厂商的响应团队介入，差别很大。AWS 要联系 Shield Response Team 需要 Business 或 Enterprise 支持计划；Azure 把 DDoS rapid response 放在 Network Protection 而非 IP Protection 里。

厂商	免费档	顶档	顶档价格（计费维度已在括号内）	账单保护
AWS	Shield Standard（L3/L4，自动）	Shield Advanced	$3,000/月 + 数据传出用量费（每付款账号）	有，需履行 1 年承诺
Azure	DDoS Infrastructure Protection（自动，公网 IPv4/IPv6）	DDoS Network Protection	$2,944/月，含前 100 个受保护 IP；超出每个 $29.5/月	有；注意 IP Protection 档没有
GCP	Cloud LB 基础防护（默认）+ Cloud Armor Standard（按量）	Cloud Armor Enterprise Annual	$3,000/月，含最多 100 个受保护资源；超出每个 $30/月	有，仅 Annual 档
阿里云（国际站）	Anti-DDoS Origin Basic（免费档清洗能力随区域在 500 Mbps 至 5 Gbps 之间）	Anti-DDoS Premium 无限防护（国际站）	$4,210/月（最低配置：保底 20 Mbps / 1,000 QPS）；保险防护 $1,580/月（最低配置：保底 50 Mbps / 500 QPS）	无；超保底按天计费
腾讯云（国际站）	EdgeOne Free（$0，平台默认清洗超 100 Mbps 触发）	EdgeOne Enterprise	定制报价；Standard 列表价 $590/月（按套餐档位，不是按资源数）	无；高防是套餐的加购项

数据来源：AWS Shield 定价页与Shield Advanced 信用申请文档、Azure DDoS Protection 定价页与SKU 对比文档、Google Cloud Armor 定价页、阿里云 DDoS 高防（非中国内地）保险与无限防护计费说明、腾讯云 EdgeOne 套餐对比，2026-10-30 复核（本站价格台账 planning/price-facts.md §10）。阿里云为国际站 USD 口径，官方注明「价格仅供参考，实际以购买页为准」；$2,944 与 $3,000 为月费挂牌价，不构成最终报价。

这张表的四列不能横着比大小。 五个价格分属五种计费维度：按付款账号、按 IP 数、按受保护资源数、按保底带宽与配置、按套餐档位。这正是下一节要讲的事，先把这点记住。

游戏被打时，账单是怎么被放大的？

攻击本身不花钱，攻击触发的流量和扩容才花钱。三个放大器要盯住。

先算一笔账，你就知道为什么这句话值得放在最前面。假设攻击流量打穿了边缘、直接怼到源站：10 Gbps 打满一小时就是 4.5 TB。AWS Shield Advanced 对经 ALB / EC2 传出的数据另按 $0.050/GB 计一笔用量费，4.5 TB = 4,608 GB，单这一小时就是 $230。攻击连续 24 小时不停约 $5,530；打满一个月约 $166,000。同期 Shield Advanced 订阅费是 $3,000。账单是防护费的 55 倍。

（这是按 AWS 官方口径 $0.050/GB 做的算术推演，用来建立量级直觉，不是你的账单预测。实际金额取决于打穿比例、缓存命中率和所在区域。这笔「Shield Advanced 数据传出费」是订阅 Shield Advanced 后额外收的一笔，与普通 EC2 出网费分开计。）

第一个放大器是打穿边缘后的源站出网。这里有个容易搞错的细节：「回源流量要另收费」不是五家通用规律，同厂商回源和跨厂商回源是两回事。

• AWS 从任意 AWS 源站（S3 / EC2 / 负载均衡）回源到 CloudFront 边缘，官方口径是免费，且不限同区域；阿里云 OSS→CDN、腾讯云 COS→CDN 同厂商回源也不产生回源流量费。
• GCP 与 Azure 明确收这一笔：GCP 叫 cache fill，Azure Front Door 叫 edge-to-origin。
• 源站若不是本厂商服务（自建机房或另一家云），AWS 会改按 Data Transfer Out to Origin 收。

所以真正会被攻击放大的，是「打穿了边缘、请求直接落到源站」和「源站在别家云或自建机房」这两种情况。如果你的源站是同厂商对象存储且一直在 CDN 后面，这条放大器的风险比你想象的小。

还有一类流量根本不过 CDN：实时对局数据（UDP 直连、帧同步）不走 CDN，它走 L4 转发或直连源站，被攻击时放大的是公网带宽和负载均衡出网。游戏公司要把这两条链路分开看，止血手段也不一样。

想从源头掐掉 CDN 那条链路，把源站收进 CDN 后面是最直接的一招。

第二个是弹性带宽溢出。阿里云国际站 Anti-DDoS Premium 分保险防护与无限防护两档，两档的最低配置不一样：保险防护 $1,580/月（保底 50 Mbps / 500 QPS），无限防护 $4,210/月（保底 20 Mbps / 1,000 QPS）。两档的核心差异在高级防护次数：保险防护每月 2 次，无限防护不限次数；配置不同也同时影响价格，不能简单归因于单一变量。

超出保底带宽后的计费，官方口径是按每 Mbps 计价，不是按攻击总量分档：保险防护 $1.25/天/Mbps、无限防护 $1.4/天/Mbps（这是日 95 分位口径）。举例：保险防护某天 95 分位带宽比 50 Mbps 保底超出 200 Mbps，当天超额费 = 200 × $1.25 = $250。攻击持续 30 天且一直维持这个量级，超额部分约 $7,500，已经超过保险防护本身的月费。

数据来源：阿里云 DDoS 高防（非中国内地）保险与无限防护计费说明与弹性带宽计费说明，2026-10-30 抓取。此处按最低配置举例，配置可加购，实际以购买页为准。

第三个是实例扩容。攻击期间如果攻击流量没被安全组拦住、自动扩容又触发，计算资源会跟着涨。各家账单保护的官方措辞都落在「被攻击放大的账单」上，举例重点是数据传出费；扩容产生的算力费用能不能拿到 credit，要逐家看条款、逐案申请，别默认它自动包含。稳一点的办法还是在架构层面给扩容设上限。

配置上能提前做的一件事，是把源站藏在 CDN 或负载均衡后面，只允许回源 IP 访问，同时给带宽和扩容设硬上限。这样即使攻击穿透边缘，账单失控的风险也会明显小一截。

买高防之前，游戏还多一个成本：延迟

这是游戏和其它业务最大的不同，也是选型时最常被跳过的一条。高防和清洗会改变玩家到源站的网络路径。流量必须先绕到清洗接入点，如果那个接入点不在玩家附近，P99 会直接被拉高。对 FPS、MOBA 这类吃延迟的品类，这一条比防护费重要得多，因为它直接影响留存。

所以游戏选高防，判断顺序应该是这样（价格排在最后）：

1. 接入点在哪：离你的主力玩家近不近，有多少个清洗节点。这一点必须在选型前问清楚，不能只看价格表。
2. 支不支持你的端口和协议：多数防护默认只保 80/443，游戏用的是自定义 TCP/UDP 端口，需要单独配四层转发。买之前先确认你那个端口能不能进。
3. 清洗和你的加速链路会不会打架：如果你们已经在用游戏加速（Global Accelerator、GAAP 之类），叠一层高防可能让两条路径互相绕路，要实际测。
4. 最后才是价格和账单保护。

另外，阿里云面向游戏还有一条独立产品线 GameShield（游戏盾），定位是网络层 DDoS 清洗 + 私有协议 CC 防护 + SDK 源站隐身，和本文比较的 Anti-DDoS Premium 属于不同产品：后者是通用高防，GameShield 更贴游戏场景。如果你们是重度客户端游戏，值得单独问一次。

按攻击规模选：三类游戏怎么打？

不是所有游戏都需要 $3,000 档。按当前规模和攻击史分档看，但请先把上一节的延迟条件过一遍，价格不是第一顺位。

你的情况	建议档位	理由	月成本量级
MVP、测试期，流量小，没被盯上	免费档就够	五家免费档都含 L3/L4；EdgeOne Free 还带免费漏洞防护规则集和全球节点	$0
已上线，日活几万，担心 CC 和刷接口	EdgeOne Basic 或 GCP Cloud Armor Enterprise Paygo	Basic 档起才有含 OWASP Top 10 的托管规则集；GCP Paygo 含 2 个受保护资源	$57 / $200
日活十万级，已有稳定攻击史但没被打穿	GCP Cloud Armor Enterprise Paygo 或 Azure IP Protection	这两档能覆盖 L7 规则和按 IP 的防护，比免费档多一层策略；AWS 没有这一层，AWS 用户要中间档得叠 EdgeOne 或转 GCP	$200 起 / 按 IP 计
已被大规模打过，或源站裸露、带宽按量	AWS Shield Advanced 或 Azure Network Protection	这两档提供账单保护，攻击期间被放大的流量费可申请返还	$2,944 - $3,000
攻击频繁且要求清洗次数不设限	阿里云国际站 Anti-DDoS Premium 无限防护	不限高级防护次数，适合攻击常态化、不想每次算次数的业务	$4,210 起（保底 20 Mbps / 1,000 QPS）

这张表按场景给推荐，不是同档位比价。 每行的价格对应不同的配置和计费维度，横向比数字没有意义；下一节专门讲为什么不能比。

需要说明的是，GCP Cloud Armor Enterprise 中间还有一层 Paygo 模式，官方价 $200/月、含最多 2 个受保护资源，超出后每个受保护资源 $200/月；Annual 模式 $3,000/月覆盖最多 100 个资源、要求 1 年承诺，超出后每个资源 $30/月。Azure 的中间档是 DDoS IP Protection，按受保护 IP 计费（单价显著低于 Network Protection 的一口价），但不含账单保护，也不支持 Basic 层级的公网 IP。这两家的中间档设计，让「要不要一步到位买顶档」有了第三种答案。但也要认清一件事：中间档没有账单保护，攻击规模一旦超出预期，省下的月费有可能被账单吃回去。

数据来源：Google Cloud Armor 定价页与 Cloud Armor Enterprise 概览文档、Microsoft Learn 的 Azure DDoS Protection 层级对比、腾讯云 EdgeOne 官方套餐表，2026-10-05 抓取。

五家的计费模型为什么不能横比？

因为五家收钱的口径根本不在同一个维度上。

AWS 和 GCP 的顶档是订阅制，一个价格覆盖一整个付款账号或结算账号下的资源。Azure 是前 100 个 IP 的一口价：你只保护 3 个 IP 也付满 $2,944，超出 100 个才按每个 $29.5 加收，不是「用多少付多少」。阿里云按保底带宽档位加高级防护次数，保险和无限的差别就藏在次数里。腾讯云在 EdgeOne 这条产品线上，高防是套餐的加购项，价格跟着你选哪一档套餐走（腾讯云是否有独立于 EdgeOne 的高防产品线，不在本文比较范围内）。

所以「哪家高防便宜」这个问题没有统一答案，就像问「保险和体检哪个划算」。能横比的前提只有三个：同一档位、同一防护目标、同一年的承诺。脱离这三个前提比价格，容易把订阅制账号价和按 IP 单价拉到一个表里，得出错的结论。

真正该问的问题是：我的攻击会让谁付钱？如果答案是「我自己」，那要解决的就是账单保护条款，清洗能力再强也挡不住账单。

代理价和发票：高防产品通过代理买能省多少？

代理商渠道现在统一走明盘结算折扣：按单次结算金额分档，直接报折数，不采用送额形式。五家分两把尺：AWS、Azure、GCP 充 $1,000 享 95 折、$2,000 享 90 折、$3,000 享 88 折、$5,000 享 85 折；阿里云、腾讯云国际站充 $200 享 95 折、$500 享 90 折、$1,000 享 85 折。月消费量超过当前最高档位的，折扣可谈；新用户首次结算不限金额，最高可享 85 折。

以 $3,000/月量级的顶档订阅为例，按账户账单整体计提。这里要说清一件事：月消费 $3,000 的客户，按本站阶梯单次结算 $3,000 即落 88 折，不是最低的 95 折。所以真实的对比区间是 88 折与 85 折之间：$3,000 按 88 折实付 $2,640，按 85 折实付 $2,550，每月差 $90、一年差约 $1,080。三家国际厂同档同折，省多省少只看你自己账户的结算档位，厂商之间不再有让利比例差。

腾讯云 EdgeOne 走国际站三档，充到 $1,000 即享 85 折，Standard 套餐 $590/月折后约 $502/月。（以上均为按阶梯测算示例，实际以当期账单与合同为准。）渠道折扣是代理商结算政策，不是厂商官方降价，高防订阅费能否全额进折扣基数，以合同约定为准。

发票和账期是另一条线。AWS、Azure、GCP 走海外主体或香港主体结算，出 Invoice，支持银行电汇。阿里云国际站不支持中国内地发行的信用卡和部分虚拟卡，PayPal 也不支持大陆注册账户。财务主体在大陆、需要国内增值税发票并谈月结账期的团队，多通过代理商做对公付款开票；香港公司可以走港币或美元对公付款，由代理商协助出海外 Invoice 或对应票据。

还有一条容易被忽略的线是资金安全。判断标准要落在钱的归属和合同条款上，折扣报得多深是次要的。实操里有三件事值得做：一是小额分批充值，别一次把一年的预算压进去；二是合同里写清账号归属、迁移条款和各档位折扣，确保账号本体在你名下、随时能走；三是核对对方的原厂授权资质。折扣报得再深，钱进了一个不透明的池子，风险还是你自己的。

口径说明：渠道档位为本站代理商结算政策（2026 年 10 月起执行），非厂商官方降价；各档位适用的服务范围、实际成交价与账期以合同约定为准。

常见问题

游戏被 DDoS 攻击了，云厂商会赔钱吗？

免费档不会。五家的免费 DDoS 防护都只承诺把攻击流量清洗掉，不承诺补偿攻击期间的任何账单。例外是三家顶档的账单保护：AWS Shield Advanced、Azure DDoS Network Protection、GCP Cloud Armor Enterprise Annual 档都覆盖攻击期间被放大的账单，但都是以服务抵扣额度（service credit：抵未来账单、不返现金）形式事后返还，需要你在攻击发生后主动申请、由厂商认定，而且前提是你早在攻击发起前就已经订阅，事后补订无效。

免费的高防够用吗？什么时候必须升到付费档？

看你的攻击会不会产生计划外账单。免费档能挡住常见 L3/L4 洪水攻击，如果你的业务在 CDN 后面、流量有封顶，免费档够用。但如果攻击打的是登录、排队、充值回调这类接口（L7 的 CC），免费档拦不住，需要按 IP 的速率限制和验证码挑战，这层要用付费 WAF，五家都按规则数与请求量另计费。另外如果源站直接暴露、带宽按量计费，或者攻击能触发跨厂商回源和出网流量，那需要的是账单保护，这一步只有付费顶档才有。

AWS Shield Advanced 的 $3,000 是包干的吗？

不是。$3,000/月是每个付款账号的订阅费，另外还要付数据传出用量费：经 Application Load Balancer 或 EC2 传出是 $0.050/GB，经 CloudFront 传出是 $0.025/GB。订阅要求 1 年承诺，账单保护也以履行承诺为前提。另外，想直接联系 AWS Shield Response Team，还需要 Business 或 Enterprise 级别的支持计划。

Azure DDoS IP Protection 和 Network Protection 差在哪？

差在账单保护、响应支持，以及能保护哪一档公网 IP。IP Protection 按受保护 IP 计费，官方文档的原话是功能和 Network Protection「相似」，但对比表里明确列出它不含 cost protection、不含 DDoS rapid response、也不含 WAF 折扣，而且不支持 Basic 层级的公网 IP。Network Protection 按每 100 个受保护 IP 计费，这几项都包含。要账单保护就必须买 Network Protection。

腾讯云 EdgeOne 的顶档是哪一档，为什么不用 $3,000 量级衡量？

官方套餐表一共五档：Free、Personal、Basic、Standard 和 Enterprise，Enterprise 才是顶档，走定制报价。最常被当成顶档的 Standard，列表价是 $590/月。腾讯云不单独卖 DDoS 订阅，高防以付费加购的形式挂在套餐上；另外 L4 Proxy 和面向 L4 代理的高防档是 Enterprise 独占，这恰好是游戏业务最需要的一项。所以它是五家里唯一不能拿 $3,000 这个量级去衡量的。

通过代理商买高防，价格和发票怎么算？

代理商渠道现在统一按单次结算金额给明盘折扣，不采用送额形式：AWS、Azure、GCP 充 $1,000 享 95 折、$2,000 享 90 折、$3,000 享 88 折、$5,000 享 85 折；阿里云、腾讯云国际站充 $200 享 95 折、$500 享 90 折、$1,000 享 85 折；月消费量超最高门槛可谈，新用户首次充值不限金额最高 85 折。高防订阅费随账户账单按同一档位结算，渠道折扣非厂商官方降价，以合同为准。财务主体在大陆、需要国内增值税发票并谈月结账期的团队，用对公付款更适合；香港公司可以走港币或美元对公付款，由代理商协助出海外 Invoice。

游戏正在被 DDoS 打，头一小时先做什么？

先分型再止血，别在头十分钟下单买高防，顶档开通不回溯、也救不了眼前这一小时。0 到 10 分钟看监控图判型：整体带宽或包量秒级打满是 L3/L4 流量型，单个接口 QPS 和 5xx 同步抬升是 L7 的 CC。10 到 25 分钟按顺序做六件事：安全组只放行 CDN 和负载均衡的回源地址、源站 IP 暴露了就换新 IP；给登录、排队等热点接口加按 IP 的速率限制和验证码挑战；能关的 UDP 端口先关；给弹性带宽和自动扩容设硬上限；开两档预算告警；同时让商务去问顶档开通。25 到 45 分钟截流量图和账单图、导出负载均衡流量日志或 VPC Flow Logs 与 Web 日志、立刻开支持工单记下工单号，这些是事后申请账单保护的材料。45 到 60 分钟对比边缘入口和源站出站两条曲线：边缘高、源站平稳说明免费档在挡，两条一起抬升就是被打穿，要收紧规则并评估订阅顶档。

关于 SevenColorYun

SevenColorYun 是服务游戏出海、跨境电商与音视频出海团队的云服务采购渠道，覆盖 AWS、Azure、GCP 与阿里云国际版、腾讯云，提供云账号开通、渠道结算（国际站 95 折起、最高 85 折，非厂商官方降价，以合同为准）、对公付款与发票，以及架构层面的安全方案咨询。

针对游戏场景，我们常帮客户做的几件事：在攻击发生前把源站收进 CDN 和负载均衡后面，评估是否值得上账单保护档，以及按预算在五家的高防档位之间做横向测算。如果你正在被攻击、或者想提前把防护和预算定下来，可以从下面几个入口了解：

• AWS WAF 与 Shield 防护 — Shield Standard 与 Advanced 的差异、账单保护适用范围
• Azure WAF 与 DDoS 防护 — 三层 DDoS 体系与 Network Protection 计费口径
• GCP Cloud Armor — 基础防护、Standard 与 Enterprise 两档
• 阿里云 WAF 与 Anti-DDoS — 国际站保险防护与无限防护
• 腾讯云 EdgeOne — 套餐内含的 DDoS 与 WAF 能力

需要针对你的攻击规模和预算做测算，可以通过 Telegram 联系我们，我们会给出对应档位的费用估算和采购路径。

相关阅读

• 亚太 CDN 哪家便宜？五家国际站东南亚单价、隐藏费用与付款开票路径（2026） — 高防常和 CDN 一起买，这篇讲清了五家 CDN 的代理价口径，本篇的计费模型分析可以对照看
• 东南亚游戏出海 AWS vs GCP？FPS 手游 P99 砍 65ms — 游戏出海的区域与延迟选型，本篇补上安全与高防这一环
• AWS CloudFront 跨境电商怎么配？4 设置把缓存命中拉到 95% — 把源站藏到 CDN 后面的具体做法，正是本文「防账单放大」的第一招
• AWS/腾讯云 海外直播 CDN 月费 $8,500 砍到 $3,500？三层框架省 59% 拆透 (4 厂对比) — 直播场景对带宽和出网费用的敏感度与游戏类似，可交叉参考
• 云服务器怎么买最便宜？五大云厂商代理折扣横评 2026 — 五家整体价格口径与采购路径的总览，含代理与发票规则