凌晨收到余额告警，打开控制台一看，某台 VPS 的出向流量曲线像一根针一样戳上去——这种时候最容易犯的错，是先手忙脚乱地重启、重装，结果既没查清原因，又把证据清掉了。
这篇把 YOOYUN（优云，原热网互联）帮助中心里「流量监控与异常报警」「账户级全局流量保护」「IP 更换」「工单」几篇的说明串起来，按先止血、再定位、后处置的顺序，整理成一份流量暴涨时的应急清单。计费数字和功能入口以官网帮助中心 2026-10-20 的写法为准；区域、线路怎么选，请先看本站 YOOYUN 怎么选。
一、先花 1 分钟判断：是被打、被刷，还是自己的业务
YOOYUN 的监控在「VPS 详情 → 监控 → 流量」，可切近 24 小时 / 7 天 / 30 天，颗粒度 5 分钟。看曲线时只盯三件事：
| 曲线特征 | 更可能的原因 | 下一步 |
|---|---|---|
| 入向突然拉满带宽峰值，出向不多 | 被 DDoS / 被扫 | 直接走工单（见第四节） |
| 出向远超日常，且持续几十分钟以上 | 接口被刷、下载链接被盗链、机器被入侵当跳板 | 先限速/关机止血，再进系统查 |
| 尖峰和你的发版、活动、定时任务时间吻合 | 自家业务 | 评估是否升配或调整流量上限 |
帮助中心原话的判断标准是「曲线尖峰 + 出向远超日常 → 可能被打 / 被刷接口」，建议先在系统内用 iftop 定位。另外一个小细节：关机后曲线归 0，但仍可能看到少量 IP 级探测包，官方说明这是正常现象，不用误判为「关机了还在被打」。
二、止血：用量限制和全局保护，平时就该先设好
流量暴涨真正伤钱的地方在于：YOOYUN 云服务器的流量按实际 GB 计费。帮助中心写的是香港 / 日本 ¥0.05/GB、美国 ¥0.025/GB（本站前几天看到的套餐接口里香港标的是更低的单价，具体以下单页为准）。不管哪个数，跑飞一晚都可能是一笔不小的账单，所以有两道闸门值得提前拉好：
- 单机闸门：「VPS 详情 → 用量限制」开启「月流量上限」，触发后可选关机 / 限速 / 仅通知。
- 账户闸门：「账户设置 → 全局流量保护」设月度账单上限，动作可选仅通知 / 自动暂停计费类资源（关机）/ 自动销毁。同时可以给每台 VPS 单独限上行、下行，并填紧急联系手机号与邮箱，触发时同步推送站内信和工单。
几条使用建议（来自官方注意事项 + 本站整理）：
- 「自动销毁」官方自己标注了高危慎用，生产机不要选。
- 新业务先用「仅通知」观察一周，摸清正常流量后再收紧成限速或关机，避免误伤。
- 被保护动作关掉的 VPS 会进入「保护已触发」状态，要你手动确认解除后才能再开机——半夜被叫醒发现机器起不来，先看是不是这个原因，而不是急着提工单。
已经在暴涨、但还没设闸门的话，最快的止血就是在电源菜单里关机：关机后 CPU / 内存停止计费，磁盘只按保留资源小额计费，流量也随之停下来。
三、定位：进系统看清楚是谁在跑流量
止血之后再查原因。网络还通就直接 SSH；如果你刚改了防火墙把自己也挡在外面，可以用控制台的 VNC 或浏览器 SSH（本站另有 登不上怎么自救 一文）。常用排查顺序：
iftop -P看实时连接，找出流量最大的远端 IP 和端口；nethogs看是哪个进程在发包；- Web 业务翻 Nginx / Apache 访问日志，按 IP、URL、User-Agent 统计请求量，判断是爬虫、盗链还是接口被刷；
- 查
crontab -l、/etc/cron.*、ps auxf和最近登录记录，排除被植入挖矿或代理程序；控制台「账号设置 → 登录历史」可看近 30 天的登录 IP 与设备。
如果确认是被入侵，不要在原系统上修修补补就继续跑：先拍一张快照留证（或直接关机），备份数据后重装，再按 开机后安全清单 换成 SSH 密钥登录。要注意重装会清空主盘，附加数据盘会保留。
四、被攻击：别自己硬扛，直接提工单
帮助中心说得很直接：「攻击场景请直接走工单，会优先调度黑洞防护与换 IP。」截至本文写作时，官网没有看到单独售卖的高防产品页，所以遇到大流量攻击，工单是正路。
工单怎么写更快（本站 工单怎么提才快 有详细模板）：
- 分类选「故障」，标题一句话写清：如「hk-xxx 自 02:10 起入向打满 100Mbps，疑似攻击」；
- 正文附上监控截图、
iftop截图或攻击源 IP 样本，说明你希望先黑洞还是换 IP； - 业务时间外，标题加 [URGENT] 会触发短信值班；催单在原工单回复「@值班」，不要重复开单。
五、换 IP 之后：这三件事最容易漏
换主 IP 走工单审批，有几条规则要提前知道（本站 附加 IP 与换主 IP 有展开）：
- 同一台 VPS 24 小时内限 3 次以内，频繁更换会触发风控，不要把换 IP 当成日常防御手段；
- 旧 IP 换走后立即释放回池、无法保留，如有白名单、证书绑定等依赖，提前在工单里注明；
- 拿到新 IP 后记得改 DNS A 记录，并检查防火墙、反代、第三方白名单里写死的旧 IP。
切换完成后，建议从大陆三网实测一下新 IP 的可达性和延迟：可以用控制台的「区域延迟」入口，也可以用 ZHALE.ME（zhale.me）这类三网末端拨测工具，从电信、联通、移动多个地区同时探测，确认不是只有你自己这条宽带能通。
六、事后复盘：把这次的教训变成配置
- 长期防护：源站只开必要端口，Web 前面加 CDN 隐藏源 IP；Nginx 用
limit_req/limit_conn给接口限速，静态大文件加防盗链。 - 流量闸门常驻：所有生产机都设单机月流量上限，账户层设一个能接受的账单上限。
- 关键业务做主备：帮助中心建议跨境业务用 hk + us 双机异地热备；单台被打黑洞时，另一台可以顶上，配合本站 多区域主备怎么配 一起看。
- 账单核对：如果确认是攻击导致的异常扣费，在工单里贴上具体流水 ID 与时间区间，官方说明 5 分钟内会有同事核对。
适合谁看
- 在 YOOYUN 上跑电商站、API、下载站、游戏服务，对外暴露公网端口的用户；
- 用按量计费、对流量账单敏感的个人站长和小团队；
- 已经被打过一次、想把应急流程固定下来的运维。
开通入口
还没开通的话，可以从官网新购，按需选香港 / 日本 / 新加坡 / 美国区域；开机后第一件事就是把上面的用量限制和全局流量保护设好。
说明：本文功能入口与规则整理自 YOOYUN 帮助中心公开内容（2026-10-20），
iftop、nethogs、Nginx 限速等为通用运维做法，非 YOOYUN 专有功能。实际以控制台和工单答复为准。
