判断分布式拒绝服务攻击的应用层与网络层处置边界，先看服务具体卡在哪里，而不是只凭流量大小下结论。入口带宽被占满，或大量连接使网络设备、主机难以响应，优先处理网络层；请求已经到达应用，却集中消耗计算、数据库或业务资源，则需要应用层处置。两类情况也可能同时发生。
先识别瓶颈，再分工处理
网络层压力通常表现为入口流量、包速率或连接数明显偏离日常范围，业务请求尚未进入正常处理流程，服务就已无法稳定访问。此时在单台源站上增加应用规则，往往解决不了上游链路拥塞，甚至可能让设备承担更多处理负担。
应用层压力则可能出现在总流量并不突出的情况下：少量请求反复触发复杂查询、文件生成或登录校验，导致响应时间增长、工作线程被占用或后端资源紧张。判断时应把网络监控、负载均衡器统计、应用日志和数据库指标按同一时间线对照，确认请求是否到达应用、耗时集中在哪一环。
网络层处置：先保住入口和链路
若瓶颈在接入链路或网络设备，应尽早联系互联网服务提供商或云平台的安全运营渠道，确认是否可以在上游进行流量清洗或过滤。上游处置能在异常流量到达源站前分担压力；仅调整应用参数，不能扩展已经饱和的接入带宽。
- 确认范围：记录异常开始时间、受影响的公网地址、流量与连接变化，以及正常业务是否一并中断。保留监控截图和设备告警，便于上游核对。
- 申请针对性缓解：说明哪些服务必须保留、哪些端口或来源特征可拦截。过滤范围过宽可能误伤正常用户，策略应先小范围核验，再视效果调整。
- 保护源站：若架构支持，可将源站访问限制为可信代理或云平台回源地址，并检查管理入口是否仍暴露在公网。变更前确认回源路径和应急登录方式，避免把自身运维通道封锁。
应用层处置：减少昂贵请求的消耗
应用已收到请求时，要找出被集中访问的功能及其成本，而不是一概封禁大量来源。对可缓存的公开内容，可提高缓存命中并减少回源；对搜索、报表、验证码发送等昂贵操作，可依据账号、会话或业务规则设置速率限制。阈值需结合正常峰值、用户行为和功能重要性调整，没有适用于所有站点的固定数值。
实施时先从日志中识别请求路径、响应码、耗时和调用后端的情况，再为高成本操作设置并发上限、超时和队列保护。对自动化提交，可以增加渐进式验证；但验证机制本身也要能承受突发请求，并为无障碍访问及正常用户保留可用路径。观察拦截率与成功请求比例，出现误伤就缩小规则范围或回滚。
边界不是设备名称，而是故障位置
流量清洗主要应对抵达链路前后的异常流量；应用规则主要约束已经进入服务的请求。速率限制适合保护特定接口，却无法替代上游缓解带宽拥塞。源站隔离能减少直接暴露，但必须确保代理回源与健康检查仍然正常。因此，分布式拒绝服务攻击的应用层与网络层处置边界，应按“瓶颈所在位置、请求到达阶段、规则能否及时生效”来划分，而非简单归为某一种产品或设备的职责。
恢复与复盘
- 先确认网络流量、应用延迟和后端资源回到可接受区间，不只看首页能否打开。
- 逐项撤销临时拦截，核对登录、支付或其他关键流程是否受到影响；保留仍然有效的保护规则。
- 复盘告警时间、处置人、规则变更和误拦截情况，补充联系人、授权流程及回滚步骤。
常见问题
只有网络流量升高，能确定是网络层攻击吗？
不能。还要结合连接情况、设备告警和应用日志判断；异常流量也可能与正常业务高峰或配置变化有关。
应用层请求不多，为什么服务仍会变慢？
单个请求可能触发较重的计算或后端查询。应检查耗时、并发和资源指标，定位具体功能，而非只统计请求总数。
可以同时启用两类防护吗？
可以。网络层措施保入口，应用层措施保护业务资源；发布前应验证规则范围，并准备回滚方案。
处理分布式拒绝服务攻击的应用层与网络层处置边界，核心是先定位压力在哪一层，再由能在该位置生效的措施承担主要缓解任务。