从HTTP/2到HTTP/3：DDoS排查为何不能只看TCP连接

网站启用HTTP/3之后，TCP连接数下降，是否意味着源站或边缘压力也下降？不一定。协议改变了部分传输路径，旧报表可能只是少看了一类流量。评估高防CDN时，应把协议覆盖和监控口径同时确认。

标准变化意味着哪些观察差异

HTTP/3标准将HTTP语义映射到QUIC；QUIC标准定义基于UDP的传输、连接标识及相关安全机制。因此，TCP会话统计不能直接代表全部HTTP/3访问量。

本文是基于协议的运维分析，不宣称发生了某次新的攻击，也不提供攻击流量生成方法。协议支持、防护能力和容量仍应以实际实现及部署范围为准。

把监控分成五个层次

不要求每个平台都提供这些同名字段，而是要求实施方说明实际能观察什么，以及缺少的信息如何补充。

先确认流量在哪里终止

客户端到边缘使用HTTP/3，边缘到源站可能采用其他协议。源站的TCP报表仍有价值，但反映的是另一段连接。比较上线前后数据时，应将边缘入口与回源链路分开，避免跨层计算错误比例。

高防IP、普通CDN和SCDN对协议的处理方式也可能不同。采购或升级时询问的是具体线路的UDP入口、HTTP/3终止、防护策略及日志范围，不能从产品名字直接推导。

协议内置机制不等于没有资源风险

QUIC设计包含地址验证和限制放大等机制，但实际服务仍需正确实现、更新和配置资源边界。合法建立的连接也可能产生大量昂贵业务请求，传输层保护无法替应用判断操作成本。

因此，应同时观察握手资源和应用处理压力。出现异常时先按证据区分网络拥塞、协议处理与业务热点，避免只因为使用UDP就把所有失败称为反射攻击。

如何做上线前后的受控比较

使用正常、约定负载，分别记录启用和未启用HTTP/3时的用户结果、协议分布及资源消耗。再检查不支持相关协议的网络是否能按设计访问，不能只测试一个开发者浏览器。

与边缘安全加速服务交接时，保存报表口径、支持范围和故障处置责任。结合防护报表解读，让最终判断回到合法用户能否完成业务，而不是某一条连接曲线是否下降。

资料核对日期：2026年10月30日。本文由AI辅助整理，技术事实依据文内原始资料核对。示例与操作清单供实施参考；产品配置和软件维护状态以实施时的官方资料为准。