分布式防护与集中式防护的取舍：带宽扩展性与故障隔离，换协议覆盖完整性

面对DDoS攻击，行业内主要有两类防护思路。分布式防护把防护能力分散部署在多个节点上，优点是能聚合出超大的总防护带宽、可以快速横向扩容、即使单个节点被攻击流量打垮也只是局部业务受影响、不会波及全局，缺点是目前主要只能覆盖HTTP和TCP这类协议类型的业务；集中式防护则相反，优点是能支持全部协议类型，缺点是单点防护带宽有限，容易在超大流量攻击面前直接被打穿。这组权衡揭示的是一个更通用的架构设计模式：当某种攻击/负载的规模上限难以预先设定时，”把承载能力分散到多个独立节点、允许局部节点失效而不影响整体”的分布式思路，能换来更高的总体承载上限和更好的故障隔离性，但代价往往是牺牲了对某些边缘场景（这里是非HTTP/TCP协议）的覆盖完整性；反过来集中式方案能保证功能覆盖的完整性，却天然存在单点扩展性的天花板，选择哪种思路本质上是”扩展性和故障隔离”与”功能覆盖完整性”之间的取舍。