网站访问速度骤降，单个页面加载需要数秒，后台管理界面也出现明显卡顿。登录云服务器控制台后可以发现，带宽使用曲线已经接近上限运行。面对这种情况，不少运维人员会立刻怀疑遭到流量攻击，并急于部署防护规则。然而带宽被占满并不一定意味着攻击，先弄清流量的具体类型，通常比直接封禁更有效。
带宽被占满时，流量大致可分为三类。第一类是正常业务流量，例如白天用户集中访问、活动页面被大量转发，这类流量有真实的访问行为和来源。第二类是异常请求流量，例如某个接口被脚本高频调用、爬虫集中抓取、被其他站点盗链，这类流量往往集中在少数地址或路径上。第三类是后台同步流量，例如备份任务、数据库主从同步、对象存储上传下载、日志归档，这类流量通常来自内网或固定服务器，和时间表有关。
区分这三类流量，可以从三个动作入手。一是按时间段观察流量曲线。正常业务流量通常和用户作息吻合，有明显高峰和低谷；异常流量可能在凌晨或短时间内突然拉升，曲线呈尖峰状；后台同步流量往往出现在固定时间点，比如凌晨两点到四点。二是按来源地址查看请求分布。正常流量来源分散，异常流量可能集中在少数IP或某个网段，后台同步流量则多来自已知的内网地址或固定公网地址。三是按接口路径查看响应大小。页面资源、图片、视频、文件下载的响应体积差异很大，找出占用带宽最多的路径，就能判断是页面访问、接口调用还是文件传输。
常见原因有几种。页面资源体积过大，比如首页加载了未压缩的大图、多个未合并的脚本，每个用户访问都会消耗较多带宽。接口被高频轮询，比如前端定时请求状态、心跳接口间隔过短，单个用户消耗不大，但并发上去后总量可观。文件下载被外链引用，比如产品手册、安装包被其他站点直接链接，流量算在自己服务器上。备份或同步任务占用带宽，比如全量备份在业务高峰执行，或者跨区域同步没有限速。
临时处置可以按影响面从小到大来。先对确认异常的来源地址做限速或临时封禁，注意保留记录，避免误伤正常用户。对文件下载类流量，可以检查防盗链设置，必要时改为对象存储外链并配置权限。对后台任务，可以暂停或调整执行时间，避开业务高峰。长期优化方向包括：开启页面和接口的缓存策略，减少重复请求；对图片和静态资源做压缩，按文件类型设置合理的缓存过期时间；对备份和同步任务做错峰和限速；设置带宽监控阈值，在达到一定比例时提前告警，而不是等到跑满才处理。
排查顺序可以归纳为：先看流量曲线判断时间特征，再看来源分布判断是否集中，再看接口路径判断消耗大头，最后结合业务时间表区分正常与异常。先定位流量来源，再决定是限速、封禁、优化资源还是调整任务。具体限速值、缓存规则和监控阈值，应以云服务商文档和实际业务情况为准。it数运在网站维护和服务器管理服务中，也遵循先分辨再处置的顺序，把技术问题说明白，把交付过程做清楚。
