腾讯云公网IP如何做流量整形和速率限制？

2026-08-30 02:02:38 分类：云计算

在腾讯云环境中，对公网 IP 进行流量整形（Traffic Shaping）和速率限制（Rate Limiting），主要取决于该公网 IP 的来源场景（是云服务器 CVM、负载均衡 CLB/CLB、还是独立公网 IP EIP）。

腾讯云的网络架构将“带宽上限”和“精细化流控”分成了不同层级。以下是针对不同场景的具体实现方案：

1. 基础层：带宽上限控制（所有场景通用）

这是最基础的速率限制，通过限制实例或资源的最大带宽峰值来实现。

  • CVM（云服务器）：
    • 在购买或续费时，选择“按固定带宽”模式，并设置具体的带宽值（如 5Mbps, 100Mbps）。
    • 效果：无论内网如何传输，出网流量被严格限制在设定值以内。超过部分会被丢弃或排队。
  • EIP（弹性公网 IP）：
    • 绑定到 CVM 或其他资源后，可在控制台调整带宽包大小。
    • 注意：如果使用的是“按使用流量计费”，则没有硬性的带宽上限（除非购买带宽包），此时无法通过计费方式直接做整形，需依赖下方的应用层或安全组策略。

2. 进阶层：应用与协议层限速（推荐方案）

如果需要更精细的控制（例如：限制单个 IP 的连接数、限制特定端口的速率、防止 DDoS 攻击导致的拥塞），建议使用以下组件：

A. 云防火墙 (Cloud Firewall) – 适合企业级防护

云防火墙提供了非常强大的流量管控能力，支持针对公网 IP 进行细粒度控制。

  • 功能点：
    • 访问控制策略：可以基于源/目的 IP、端口、协议制定规则。
    • QoS 限速：在高级版中，可以对特定业务流量进行带宽限制（例如：限制某个业务线只能占用 10Mbps 带宽）。
    • 防暴力破解/CC 攻击：自动识别异常高频连接并阻断，变相实现速率限制。
  • 适用场景：需要跨地域、多实例统一管理流量，或需要防御 CC 攻击的场景。

B. 负载均衡 (CLB / ALB / NLB) – 适合 Web 服务

如果你的公网 IP 是通过负载均衡暴露的，可以在 LB 层面做限制。

  • 监听器配置：
    • 限流策略：在监听器配置中开启“限流”，设置每秒请求数（QPS）或并发连接数。
    • 带宽包：为负载均衡实例购买带宽包，设定总带宽上限。
  • 七层限流：ALB（应用型负载均衡）支持基于 URL、域名甚至 Header 内容的精细化限流。

C. 安全组 (Security Group) – 基础过滤

虽然安全组主要用于允许/拒绝端口，但它也可以作为第一道防线。

  • 操作：限制入站和出站规则的端口范围。
  • 局限：安全组不支持基于带宽速率（bps）的软限制，只能做“通/断”控制。

3. 操作系统层：内部流量整形（最灵活但需维护）

如果你需要针对单个实例内部的特定进程、特定源 IP 或特定协议进行极其灵活的流量整形（例如：保证 SSH 占 10%，Web 占 50%），可以在操作系统内部使用工具实现。这不受云平台限制，完全由你控制。

  • Linux 环境 (推荐使用 tc + iptables/nftables)：

    • 工具：Linux 内核自带的 Traffic Control (tc) 命令。
    • 示例逻辑：
      1. 创建根队列调度器 (Root Qdisc)。
      2. 定义分类器 (Class)，指定目标 IP 或端口。
      3. 定义令牌桶算法 (Token Bucket) 来限制速率。
    • 优势：可以精确到 Mbps 级别，支持突发流量控制。
    • 劣势：需要手动编写脚本，重启服务器可能失效，需配合系统服务管理。

  • Windows 环境：

    • 可以使用 PowerShell 结合 NetSh 命令，或者安装第三方软件（如 NetLimiter）进行本地流量限制。

4. 特殊场景：DDoS 高防与 WAF

如果速率限制的目的是为了抵御恶意大流量攻击（而非正常的业务限速）：

  • DDoS 高防 (Anti-DDoS Premium)：提供清洗中心，当流量超过阈值时自动触发清洗，回源流量会被限制在正常范围内。
  • WAF (Web Application Firewall)：专门针对 HTTP/HTTPS 协议的 CC 攻击进行频率限制（Frequency Limiting），可以设置"1 秒内同一 IP 只能访问 N 次”。

总结与建议方案

需求场景 推荐方案 实施难度 控制粒度
限制整体出口带宽 CVM/EIP 带宽包 低 粗粒度（整个实例）
限制单个 IP 的并发/请求数 CLB/ALB 限流 或 WAF 中 中等（基于协议/URL）
防御 CC 攻击/异常高频 云防火墙 或 WAF 中 高（基于行为分析）
复杂 QoS（如保障关键业务带宽） 云防火墙 (QoS) 或 OS 内部 tc 高 极高（可细分到端口/IP）
临时测试或极细粒度控制 Linux tc 命令 高 极高（底层网络栈）

最佳实践路径：

  1. 第一步：在控制台将 CVM 或 EIP 的带宽设置为业务所需的物理上限（这是成本最低且最有效的限制）。
  2. 第二步：如果是 Web 服务，务必开启 WAF 或 负载均衡限流 以应对 CC 攻击。
  3. 第三步：如果有复杂的内部流量调度需求（如数据库只允许走内网，Web 走公网但限制带宽），再考虑在操作系统内部部署 tc 脚本或使用云防火墙的高级 QoS 功能。

如果您能提供具体的业务场景（例如：是防止被刷量，还是为了保证核心业务不卡顿），我可以为您提供更具体的配置命令或控制台路径指引。