腾讯云国际版 DDoS 防护实战：DDoS Defender 套餐月费、清洗流量与高防 IP 单价全解析（2026）
Meta Description: 2026 年腾讯云国际版 DDoS 防护（DDoS Defender）计费全解析：Essential 1,300 / Premium 5,000 USD 月费，大陆/全球/跨地域扩展包 700/1,400/13,000，10 TB 免费清洗流量后 0.
- 先划边界：DDoS 防护和 EdgeOne、WAF、主机安全到底谁管谁
- 产品原理与四层能力体系：Standard / Advanced / Ultimate 三档怎么区分
- 2026 新计费口径：DDoS Defender 套餐月费与三大扩展包（真实 USD 单价）
- 清洗流量费：10 TB 免费 + 预付费 / 后付费两套阶梯单价
- 受保护资源数费与各地域防护上限：别让「资源数溢出」偷偷加价
- 黑洞封禁与自助解封：阈值、时长、影响与每天 3 次解封
- 老客户历史计费口径：Anti-DDoS Pro / Advanced 的保底与弹性防护单价
- 成本测算：三个真实场景的月账单（示意算例）
Meta Description: 2026 年腾讯云国际版 DDoS 防护（DDoS Defender）计费全解析：Essential 1,300 / Premium 5,000 USD 月费，大陆/全球/跨地域扩展包 700/1,400/13,000，10 TB 免费清洗流量后 0.06 USD/GB 阶梯价，附防护上限表、黑洞解封规则与成本算例。
关键词：腾讯云国际版、DDoS 防护、Anti-DDoS、DDoS Defender、高防 IP、清洗流量、CC 防护、黑洞解封、弹性防护、DDoS 计费
前言（先给结论）：如果你的业务在腾讯云国际版上被打过 DDoS，或者正准备把跨境独立站、游戏服、API 网关暴露到公网，第一件要搞清楚的事不是「买多大的高防」，而是「腾讯云的 DDoS 防护现在到底怎么卖、怎么算钱」。因为 2026 年 9 月 10 日是一个分水岭：这一天之后新开通的客户，计价口径从老的「Anti-DDoS Pro / Advanced：按 IP 数 + 保底防护带宽 + 弹性防护 + 转发规则」整体切换为新的 DDoS Defender 套餐制——基础套餐（Essential 1,300 USD/月、Premium 5,000 USD/月）+ 防护能力扩展包（大陆 700 / 全球 1,400 / 跨地域 13,000 USD/月）+ 10 TB 免费清洗流量 + 资源数与流量的溢出计费。一句话选型：中小跨境业务先用 Essential + 中国大陆扩展包（约 2,000 USD/月起）把大陆流量兜住；多地域、多受保护资源、需要 Tbps 级承诺防护的再上 Premium + 多扩展包；只是防小流量探针、机器没被真正打瘫，免费的 Standard 档（2 Gbps）就够，别急着花钱。 本文把新老两套口径的每一档单价、每一张防护上限表、每一条解封与退款规则都拆开讲透，并给出可直接套用的成本算例。
声明：本文价格与规则数据采集于 2026 年 10 月，取自腾讯云国际版官方文档（产品 1213 Anti-DDoS：计费概览、购买指南、防护能力说明、封禁策略、退款与续费政策等页面）与官方历史计价页（现有用户文档 56597），仅为参考，实际价格随地域、活动与计费项变动，请以腾讯云国际版官网实时价格为准。除特别标注外，金额单位均为美元（USD）。2026 年 9 月 10 日之后新开通的客户适用新计费口径；此前开通的 Anti-DDoS Pro / Advanced 客户仍适用历史口径——两套价格本文均予列出并明确区分，切勿混用。
一、先划边界：DDoS 防护和 EdgeOne、WAF、主机安全到底谁管谁
这是新手最容易买错的一层。云安全不是「买一个产品防住所有攻击」，而是分层纵深：每一层只看得到自己那一段流量、那一个对象。把边界搞混，钱花了、洞还在。
| 既有主题 | 它解决的问题 | 与本文的关系 |
|---|---|---|
| DDoS 防护（Anti-DDoS / DDoS Defender） | L3/4 网络层与传输层的大流量攻击清洗：UDP Flood、SYN Flood、ICMP Flood、DNS/NTP 反射、畸形包等，按「防护能力」（Gbps / Tbps）度量 | 本文主角，讲清产品体系、计费与解封 |
| EdgeOne 安全加速平台 | 边缘 L7 DDoS（CC）清洗 + CDN 加速 + WAF 一体化；CC 的防护策略（自适应频率控制、智能客户端过滤、慢速攻击防护、限速）由 EO 提供 | 本文的边缘与应用层，只引用不展开（详见《EdgeOne 安全加速平台实战》） |
| WAF 自定义规则与 Bot 管理 | 应用层 HTTP 攻击（SQL 注入、XSS）与爬虫 / Bot 流量治理 | 本文的应用层邻居，只引用不展开 |
| 主机安全 CWP（云镜） | 服务器本身：SSH 爆破、木马、漏洞补丁、本地提权 | 本文的主机层，只引用不展开 |
| 国际版账号安全（MFA / 子账号 / 密钥） | 身份层：「谁能登录控制台」 | 本文的身份层，只引用不展开 |
一句话记住分工：大流量打不进（L3/4）靠 DDoS 防护，小人海打不垮（L7 CC）靠 EdgeOne，单条请求打不穿（HTTP 漏洞）靠 WAF，机器本身别被黑靠主机安全，控制台别被登靠账号安全。 本文只负责第一层——但它是所有层的「地基」：清洗节点顶不住，上面几层一起躺平。
二、产品原理与四层能力体系：Standard / Advanced / Ultimate 三档怎么区分
产品原理（官方文档「产品原理」）：DDoS Defender 通过腾讯云清洗集群检测与清洗攻击流量，链路分三步——① 攻击流量在到达受保护资源前先被引流到腾讯云 DDoS 清洗集群；② 清洗集群用一系列检测与识别算法把恶意流量与正常业务流量分离、丢弃攻击流量；③ 清洗后的正常业务流量回注到受保护资源，不影响正常访问。
DDoS Defender 支持为两类资源建立防护链路：
- 云资源：CVM（云服务器）、CLB（负载均衡）、EIP（常规 BGP IP / 静态单线 IP，含 Anti-DDoS EIP）、WAF、LH（轻量应用服务器）。
- EO 资源：站点域名、L4 代理实例（L4 Proxy）、BGP Transit CIDRs（广播网段）。
防护能力分三档（Standard / Advanced / Ultimate），同一受保护资源一次只能配一档：
| 防护档位 | 激活条件 | 适用受保护资源 | 能力概览 |
|---|---|---|---|
| Standard（标准防护） | 默认免费提供，无需条件 | 具备公网访问能力的 CVM、CLB、EIP、WAF、LH、EO 等 | 平台默认开启的 L3/4 基础防护，最高 2 Gbps；EO 资源默认防护但不承诺带宽 |
| Advanced（高级防护） | 绑定任一 DDoS Defender 套餐 | CVM、CLB、EIP、WAF、LH、EO 域名与 L4 代理实例 | 按资源所在地域提供能力：大陆华东 30–600 Gbps、华北 120–480、华南（广州）300–500、西南 15–350、西北（西安）120；全球不含大陆为有限能力（可能低于 10 Gbps） |
| Ultimate（终极防护） | 绑定套餐 + 任一防护能力扩展包 | Anti-DDoS EIP、EO 域名与 L4 代理实例、EO 广播网段 | 大陆 Anti-DDoS EIP 600 Gbps–1 Tbps；大陆 EO 域名 L3/4 最高 1 Tbps、L7 最高 60 万 QPS；全球（不含大陆）Anycast 架构，最高 10 Tbps+ |
关键判断点：Standard 档的 2 Gbps 是「有没有」的问题，Advanced / Ultimate 才是「买多大」的问题。只要你的资源有公网 IP 且在腾讯云上（CVM / CLB / EIP / WAF / LH），就已经白拿了一档 2 Gbps 的基础防护——多数中小业务被打到几十 Gbps 之前，先被这 2 Gbps 挡住了一部分；真正需要花钱的，是攻击规模稳定超过 2 Gbps 的场景。此外要记住：Advanced 档的普通云资源（CVM / CLB / EIP / WAF / LH）是「尽力而为（best-effort）」防护，不承诺固定带宽；只有 Anti-DDoS EIP 和 EO 资源在香港、新加坡、硅谷等境外地域，才通过 Anycast + 扩展包获得承诺级 / 弹性级的高防能力。这一点直接决定了后面「扩展包到底值不值」。
三、2026 新计费口径：DDoS Defender 套餐月费与三大扩展包（真实 USD 单价）
这是本文最核心的一节。新客户（2026-09-10 起开通）的 DDoS Defender 计费由四部分构成：① 基础套餐（必选）；② 防护能力扩展包（可选，可多选）；③ 清洗流量费；④ 受保护资源数费。 其中①②是「门票」，③④按实际用量溢出。
3.1 基础套餐（必选，按月/账号/账号口径）
| 套餐 | 月费（USD/月/账号） | 尽力而为缓解次数 | 含清洗流量 | 含受保护资源数 |
|---|---|---|---|---|
| Essential（基础版） | 1,300 | 每月 2 次 | 10 TB | 25 个 |
| Premium（高级版） | 5,000 | 不限次数 | 10 TB | 100 个 |
要点：两个套餐的差别不只是价格，而在「尽力而为缓解次数」和「受保护资源数上限」——Essential 每月只有 2 次尽力而为缓解机会，Premium 不限次数。对于「一个月可能被打三五次」的业务，倒推一下就知道 Premium 的 5,000 往往比「Essential + 反复被限流」划算，因为缓解次数用完后的攻击可能会触发黑洞封禁（见第六节）。
3.2 防护能力扩展包（可选，按需多选，按月/账号）
| 扩展包 | 月费（USD/月/账号） | 作用范围 |
|---|---|---|
| 中国大陆防护能力扩展包 | 700 | 大陆的 EO 域名 / L4 代理实例、大陆的 Anti-DDoS EIP，把大陆防护能力扩展到 Tbps 级 |
| 全球（不含大陆）防护能力扩展包 | 1,400 | 全球（不含大陆）的 Anti-DDoS EIP 与 EO 广播网段，为其提供 L3/4 清洗能力 |
| 跨地域防护能力扩展包 | 13,000 | 全球（不含大陆）的 EO 域名 / L4 代理实例，为开启「大陆网络优化（全球加速）」的路由把跨地域防护扩展到 Tbps 级（启用前需先完成大陆网络优化配置） |
解读：
- 大陆扩展包 700 USD/月是最常用的一个——它把大陆的 EO 域名 / Anti-DDoS EIP 从「有限能力」拉到 1 Tbps L3/4 + 60 万 QPS L7 的承诺级防护。
- 全球扩展包 1,400 USD/月是给「Anti-DDoS EIP + EO 广播网段」在境外拿 L3/4 清洗能力用的，适合把 EIP 暴露在海外的业务。
- 跨地域扩展包高达 13,000 USD/月，是给「大陆优化路由」的 EO 域名做跨地域防护的，属于超大型双活 / 全球加速架构的专属项，中小业务基本用不到。
- 注意：扩展包与资源类型要匹配。 官方明确：EO 域名与 L4 代理实例可绑「大陆扩展包 + 跨地域扩展包」；EO 广播网段只能绑「全球扩展包」；Anti-DDoS EIP 可绑「大陆扩展包 + 全球扩展包」。买错扩展包资源绑不上。
3.3 自定义防护策略费（可选）
如需安全运营中心（SOC）服务、重大活动护航，或希望腾讯云安全专家按业务定制防护策略，官方走「联系我们获取定制方案与报价」的口径，不公开单价。这类服务的典型触发场景：大促 / 开服前的护航、需要人工研判的高级 CC、需要与自有 SOC 联动的企业。普通业务无需购买。
四、清洗流量费：10 TB 免费 + 预付费 / 后付费两套阶梯单价
清洗流量费（Clean Data Transfer Fee）是必计项，但套餐已内含 10 TB，超出部分才计费。计费分「预付费月度订阅」与「后付费按量」两种，后付费采用月度累计阶梯（hourly settlement）——按套餐周期（自然月）累计用量套阶梯，不是每一笔都从第一档重算。
4.1 预付费（随套餐按月订阅）
| 清洗流量档位 | 单价（USD/GB/月） |
|---|---|
| 0 – 10 TB（含） | 0 |
| 超过 10 TB 部分 | 0.06 |
也就是说：只要你买的是预付费套餐，前 10 TB 清洗流量不额外花钱，超出部分统一按 0.06 USD/GB/月结算。 例如某月清洗了 25 TB，超出 15 TB = 15 × 1,024 GB × 0.06 ≈ 921.6 USD。
4.2 后付费按量（月度累计阶梯，USD/GB）
| 流量档位 | 中国大陆（CVM/CLB/EIP/WAF/LH/EO 域名/EO L4） | 全球不含大陆（CVM/CLB/EIP/WAF/LH） | EO 域名与 EO L4 代理实例 |
|---|---|---|---|
| 0 – 100 TB（不含） | 0.1 | 0.05 | 0.025 |
| 100 – 500 TB（不含） | 0.08 | 0.04 | 0.02 |
| 500 – 1,000 TB（不含） | 0.05 | 0.03 | 0.015 |
| 1,000 – 5,000 TB（不含） | 0.035 | 0.02 | 0.012 |
| ≥ 5,000 TB | 0.03 | 0.015 | 0.01 |
三条实战结论：
- EO 域名 / EO L4 的清洗流量单价最低（0.025 起），因为 EO 走的是边缘 Anycast 清洗，成本结构更优；如果攻击主要是打域名，优先把流量引导经 EO 入口。
- 大陆单价（0.1）是海外（0.05）的两倍，量大时优先考虑用 EO 承接大陆流量以拿到 0.025 的 EO 单价。
- 加价规则容易忽略：若为 EO 域名 / L4 代理实例开启了「大陆网络优化（全球加速）」，跨地域的 DDoS 业务流量还会额外产生「跨地域加速流量费」（按 Cross-MLC-Border 加速流量费后付费计），两笔账要一起算。
五、受保护资源数费与各地域防护上限：别让「资源数溢出」偷偷加价
5.1 受保护资源数费
资源数按「关联到防护实例的资源个数」统计：CVM 按实例数、CLB 按实例数、EO 按子域名数与 L4 代理实例数计。
预付费（随套餐）：
| 套餐 | 含资源数（USD/个/月） |
|---|---|
| Essential | 0 – 25（含）= 0；超出 25 部分 = 7 |
| Premium | 0 – 100（含）= 0；超出 100 部分 = 7 |
后付费按量溢出（USD/个/小时，月度阶梯）：
| 资源档位 | CVM/CLB/EIP/WAF/LH | EO 域名与 EO 全球（不含大陆）L4 | 大陆 / 全球 EO L4 代理实例 |
|---|---|---|---|
| 0 – 100（不含） | 0.05 | 第 1 个资源 0 USD，每增 1 个 1.5 USD/个/小时 | 同左 |
| 100 – 500（不含） | 0.04 | — | — |
| 500 – 1,000（不含） | 0.03 | — | — |
| 1,000 – 5,000（不含） | 0.02 | — | — |
| ≥ 5,000 | 0.01 | — | — |
两个必须记住的坑：
- 预付费的资源数配额不能抵扣「大陆或全球的 L4 代理实例」用量（官方原话：不能用于抵扣大陆或全球地域 L4 代理实例产生的受保护资源用量）。也就是说 L4 代理实例一旦超出赠送额度，按小时后付费计，且第 1 个 0 USD、之后每个 1.5 USD/小时——一个 L4 代理实例一个月按 730 小时算，就是 1.5 × 730 ≈ 1,095 USD，非常容易失控。
- 溢出是自动后付费的，不需要你同意——资源数量配额用完后继续关联资源，系统自动按上表计费。上线前用「资源数清单」对一遍，比事后看账单便宜。
5.2 各地域防护能力上限（Advanced / Ultimate）
普通云资源（CVM / CLB / EIP 常规 BGP 与静态单线 / WAF / LH）——Advanced 档按地域：
| 地域 | 防护能力 |
|---|---|
| 华东（上海、上海金融、南京） | 最高 30 – 600 Gbps |
| 华北（北京、北京金融） | 最高 120 – 480 Gbps |
| 华南（广州） | 最高 300 – 500 Gbps |
| 西南（重庆、成都） | 最高 15 – 350 Gbps |
| 西北（西安） | 最高 120 Gbps |
| 全球（不含大陆） | 有限防护能力（可能低于 10 Gbps） |
Anti-DDoS EIP（Ultimate 档，需 + 扩展包）：
| 地域 | 防护能力 |
|---|---|
| 大陆（北京、广州、上海） | 最高 600 Gbps – 1 Tbps |
| 全球不含大陆：香港（中国）、新加坡、硅谷、法兰克福、东京、弗吉尼亚、圣保罗、雅加达、首尔、利雅得 | Tbps 级（Anycast 联合防护，尽力而为） |
EO 域名与 L4 代理实例：
| 受保护区域 | Advanced（仅绑套餐） | Ultimate（套餐 + 大陆扩展包） |
|---|---|---|
| 大陆 L3/4 防护能力 | 承诺防护最高 200 Gbps | 承诺防护最高 1 Tbps |
| 大陆 L7 防护能力 | 承诺防护最高 30 万 QPS | 承诺防护最高 60 万 QPS |
| 全球（不含大陆） | 基于 Anycast 架构的高弹性防护，最高 10 Tbps+ | 同左 |
EO 广播网段（BGP Transit CIDRs）：需「套餐 + 全球扩展包」，Ultimate 档，全球（不含大陆）Tbps 级，大陆不适用。
一个容易被忽略的技术细节：官方说明默认仅对「超过 100 Mbps 的攻击流量」执行自动缓解（攻击流量按单一地域的流量统计，阈值仅供参考，以实际防护为准）。这意味着小流量、分布式、持续性的「软攻击」未必触发清洗，而是可能被平台的临时限流 / 封禁兜底——这类反而更适合交给 EdgeOne 的 L7 CC 策略处理。
六、黑洞封禁与自助解封：阈值、时长、影响与每天 3 次解封
DDoS 防护最让人「半夜惊坐起」的不是攻击本身，而是黑洞封禁（Blocking）——资源被平台「关进小黑屋」，正常用户也访问不了。规则如下。
阈值：封禁阈值 = 该受保护资源当前生效的防护能力上限。攻击流量一旦超过防护能力，即触发封禁。
时长：默认封禁 2 小时，最长可达 24 小时，实际时长取决于触发次数与攻击峰值，到期后系统自动解封。影响时长的三个因素——① 攻击是否持续（持续则延长，并从延长时刻重新计时）；② 攻击是否频繁（频繁被攻击的资源更易被持续攻击，自动延长）；③ 攻击流量体量（超大流量攻击自动延长）。官方另有一句重话：对封禁过于频繁的用户，腾讯云保留延长封禁时长、降低封禁阈值的权利。
封禁期间的影响：该受保护资源无法接收任何公网访问，包括正常业务流量——这是最疼的一点，等于「被平台拔网线」。
如何避免封禁：
- 提升防护能力：订阅 DDoS Defender 套餐并把公网资源绑到 Advanced / Ultimate 档，抬高防护能力上限，降低触发概率；
- 监控攻击态势：通过攻击分析持续跟踪资源攻击趋势，及时评估是否要升级防护档位。
如何解封：订阅套餐后，单个腾讯云主账号每天有 3 次自助解封机会；用完后需等系统自动解封，或等次日 0 点额度重置。另外，因「异常公网入流量激增可能影响平台稳定性」被平台临时限流 / 封禁的（即使流量没有明显攻击特征），平台会在操作前通过消息中心（站内信、邮件、短信）通知，若你认为流量是正常业务，可通过解封中心自助解封，或联系腾讯云申请提前解封。
实战建议：
- 把「每天 3 次自助解封」当成应急弹药，而不是日常手段。 打完就得等 0 点，所以应尽量在业务低峰期做「防护档位上调」验证，别拿高峰期试错。
- 封禁阈值 = 防护上限，意味着「买多大」直接决定「能扛多大」。 如果业务峰值攻击在 400 Gbps 上下，只买了能提供 300 Gbps 上限的档位，就是在赌攻击不超过 300——赌输就是全站黑洞。
- 不要只盯 L3/4：大流量背后常伴随 L7 CC，两者要一起配（L7 策略由 EO 提供），否则「清洗完的流量」照样能把应用打垮。
七、老客户历史计费口径：Anti-DDoS Pro / Advanced 的保底与弹性防护单价
以下仅适用于 2026 年 9 月 10 日之前开通的 Anti-DDoS Pro / Advanced 存量客户（官方历史文档 56597），新客户不适用，切勿与上文 DDoS Defender 价格混用。 之所以仍列出，是因为很多「看老帖子选型」的读者会拿旧价对比，需要知道新旧口径的差异在哪。
7.1 Anti-DDoS Pro（大陆，按业务规模 + 受保护 IP 数）
业务规模单价（按量 / 月订阅）：
| 业务规模 | 单价 |
|---|---|
| 0 – 1 Gbps（含） | 14 USD/Mbps/月 |
| 1 – 3 Gbps（含） | 10 USD/Mbps/月 |
| 3 – 10 Gbps（含） | 7 USD/Mbps/月 |
| 10 Gbps 以上 | 4 USD/Mbps/月 |
受保护 IP 数（月订阅，含赠送业务带宽）：保护 10 个 IP = 8,890 USD；50 个 IP = 17,780 USD；100 个 IP = 33,333.33 USD。10 IP 方案默认赠 50 Mbps、50 IP 赠 300 Mbps、100 IP 赠 1,000 Mbps 业务带宽。
Anti-DDoS Pro 2.0：基础包默认 1 个 IP + 10 Mbps 业务规模；「2 次全力防护」规格最高支持 10,000 Mbps，单价 6 USD/Mbps/月（≤10,000 Mbps）；「无限防护」规格单价 14 / 10 / 7 / 4 USD/Mbps/月（分 1,000 / 3,000 / 10,000 / 以上 Mbps 档）。业务规模按月峰值 95 去峰统计（5 分钟采样、自然月为一周期，去掉最高 5% 采样点后的 95 分位峰值为计费点）。
7.2 Anti-DDoS Advanced（高防 IP，大陆 + 海外）
大陆保底防护能力月价（USD/月，按 IP 数量档位；下表为 1IP 列）：
| 保底防护能力 | 1 IP | 10 IP | 50 IP | 100 IP |
|---|---|---|---|---|
| 300 Gbps | 3,200 | 13,333.33 | 26,666.66 | 44,444.44 |
| 400 Gbps | 5,422.22 | 22,222.22 | 44,444.44 | 84,444.44 |
| 500 Gbps | 16,533.33 | 66,666.66 | 88,888.88 | 111,111.11 |
| 600 Gbps | 19,866.66 | 80,000 | 111,111.11 | 133,333.33 |
| 800 Gbps | 22,088.88 | 88,888.88 | 133,333.33 | 177,777.77 |
| 1,000 Gbps | 27,644.44 | 111,111.11 | 177,777.77 | 222,222.22 |
海外高防 IP（不含大陆，含 CC 防护带宽与地域）：
| 防护能力 | CC 防护带宽 | 月价 | 地域 |
|---|---|---|---|
| 20 Gbps | 40,000 QPS | 4,800 USD/月 | 首尔 |
| 20 Gbps | 40,000 QPS | 4,161 USD/月 | 香港（中国）、台湾（中国）、新加坡、东京、硅谷、法兰克福 |
| 50 Gbps | 150,000 QPS | 10,500 USD/月 | 香港（中国）、首尔、新加坡、东京、硅谷、法兰克福 |
| 50 Gbps | 150,000 QPS | 8,631 USD/月 | 台湾（中国） |
| 100 Gbps | 300,000 QPS | 16,500 USD/月 | 香港（中国）、首尔、新加坡、东京、硅谷、法兰克福 |
| 100 Gbps | 300,000 QPS | 14,660 USD/月 | 台湾（中国） |
转发规则：每个 Anti-DDoS Advanced 实例默认 60 条免费，每增加 10 条 100 USD/月，单实例上限 500 条。
弹性业务带宽：超出规格部分按 1 USD/Mbps/天 计。
弹性防护（按天结算，大陆）：不启用则最高防护 = 保底带宽、无额外费用；启用后最高防护 = 弹性带宽；未触发不计费。触发后按「当日攻击峰值 − 保底防护带宽」的档位计价（例：5 Gbps 以内 130 USD/天，200–250 Gbps 3,800 USD/天，900 Gbps–1.2 Tbps 20,000 USD/天）。多 IP 场景每 IP 独立计算：假设每 IP 保底 500 Gbps，IP A 实际 600、IP B 实际 550、IP C 未超，则 A、B 各超 100 / 50 Gbps，弹性合计按 150 Gbps 计，2 个 IP 的弹性防护费为 2,383.33 USD。
新旧口径的关键差异（一句话）：老口径是「先买保底带宽，再为超出部分按天付弹性防护费」，攻击越猛、账单越不可预测；新口径是「套餐月费 + 扩展包 + 清洗流量阶梯」，把最大部分成本前置为可预算的包月费用，攻击期间的边际成本只体现在清洗流量与幂次级的阶梯单价上。 对财务预算敏感的业务，新口径的可预测性明显更好。
八、成本测算：三个真实场景的月账单（示意算例）
以下算例均按预付费月度订阅 + 10 TB 内含流量 + 超出按 0.06 USD/GB 的口径估算，仅示意，不含活动优惠与实际折扣。
场景 A：中小跨境独立站（1 个 EO 域名，轻量防护）
- 套餐：Essential 1,300 USD
- 扩展包：无（大陆流量用 Standard / Advanced 尽力而为 + EO 边缘）
- 资源数：1 个 EO 域名 ≤ 25，计 0
- 清洗流量：月 3 TB ≤ 10 TB，计 0
- 合计 ≈ 1,300 USD/月
场景 B：中型游戏 / SaaS（5 台 CVM + 2 个 CLB + 1 个 WAF，大陆为主）
- 套餐：Essential 1,300 USD
- 扩展包：中国大陆扩展包 700 USD
- 资源数：8 个资源 ≤ 25，计 0
- 清洗流量：月 25 TB，超出 15 TB → 15 × 1,024 × 0.06 ≈ 921.6 USD
- 合计 ≈ 2,921.6 USD/月
场景 C：大型多云双活（100+ 资源，跨大陆与海外，需承诺级防护）
- 套餐：Premium 5,000 USD
- 扩展包：大陆 700 + 全球 1,400 = 2,100 USD
- 资源数：120 个，超 Premium 赠送 100 → 20 × 7 = 140 USD
- 清洗流量：月 150 TB，超出 140 TB → 140 × 1,024 × 0.06 ≈ 8,601.6 USD
- 合计 ≈ 15,841.6 USD/月
三点省钱结论：
- 清洗流量是弹性的最大变量。10 TB 免费额度用满后，每多 10 TB 就是 614 USD 左右；用 EO 承接流量（0.025 起）比走大陆主机资源（0.1）便宜一个数量级，但要注意跨地域加速会另计费。
- 资源数是「隐形地雷」。Essential 只送 25 个、Premium 送 100 个，超出按 7 USD/个/月（预付费）或按小时后付费；关联资源前先数清楚，别把测试机、临时 CLB 全绑上去。
- L4 代理实例不要用预付费额度抵扣。它超出后按 1.5 USD/个/小时计，一个月可轻松上千美元，务必单独评估。
九、控制台实操：从购买到绑定资源的 7 步流程
购买（购买指南 83949）：
- 进入 DDoS Defender 购买页 → 2. 按业务需要选择套餐版本（Essential / Premium，必选）、防护能力扩展包（可选多选）、额外受保护资源数（可选）、额外清洗流量（可选）、订阅时长（必选，1 个月–2 年，按月购买，可勾选「余额充足时到期自动续费 1 个月」）→ 3. 确认信息、选择是否使用代金券 → 4. 点「确认购买」完成支付 → 5. 购买完成后回到购买页，可查看当前登录的腾讯云主账号已订阅的 DDoS Defender 信息。
绑定资源（资源专属防护）：
- 在控制台把需要防护的云资源（CVM / CLB / EIP / WAF / LH）或 EO 资源（域名 / L4 代理实例 / 广播网段）关联到防护实例，并为其选择防护档位（Advanced = 仅绑套餐；Ultimate = 套餐 + 扩展包）。
- 验证：通过「攻击分析」查看攻击流量、防护效果与业务流量趋势；在「解封中心」确认自助解封额度（每天 3 次）与当前封禁状态。
续费（续费指南 83950）：
- 手动续费：DDoS Defender 订阅管理卡片 → 点「立即续费」→ 选择续费时长、勾选同意服务协议 → 进入订单支付确认页（可用代金券）→ 提交订单 → 选择支付方式完成支付。
- 自动续费：订阅管理卡片 → 「开启自动续费」→ 确认续费配置、勾选同意自动续费规则 → 开启。开启后系统会在到期前 1 天自动续费 1 个月；若因余额不足续费失败，系统会持续重试直到成功或计划终止。务必保证账户余额充足。
十、避坑指南：自动续费、退款窗口、过期回收的 7 天
1. 退款窗口极窄，几乎「一买定终身」。 官方退款规则（退款政策 83953）：DDoS Defender 套餐仅在「购买后 5 天内 + 未产生用量 + 未绑定任何受保护资源 + 未遭受 DDoS 攻击」四个条件同时满足时，才按剩余有效期比例退款，其他情形一律不支持退款。 账号因内容违规等被封停的，账户下任何套餐均不支持退款。腾讯云对有异常 / 恶意退款行为的保留拒绝权。代金券部分不退，非代金券部分按支付方式与比例退回。且目前不支持自助退款，需提交工单联系客服。
2. 过期与欠费会导致服务暂停，资源只保留 7 天。 官方过期与欠费政策（83952）：套餐到期未在宽限期内续费，或账号欠费未在 24 小时内处理 → 系统暂停服务（暂停后所有能力不可用，仅剩只读访问）。暂停后 DDoS 防护资源保留 7 天，7 天内未完成续费 + 充值，系统将回收资源并删除关联配置，且无法恢复。 这意味着一旦忘记续费，配置好的防护策略、绑定的资源关系可能全部丢失——建议开启自动续费并把余额告警阈值设高一些。
3. 自动续费不是万能的。 自动续费依赖账户余额，余额不足会续费失败并持续重试，直到成功或计划终止——如果余额一直不够，最终会走到「暂停 + 7 天回收」。把「余额告警」和「自动续费」当成一套组合拳，而不是二选一。
4. 政策更新以官方为准。 计费项、单价、赠送额度、退款规则均可能随产品迭代调整（官方 Billing Overview 亦标注「仅供参考，以购买页为准」）。下单前请在购买页核对最终价格，本文只作为选型与预算的参照框架。
5. 别忘了上层防护。 DDoS 防护只管 L3/4 大流量；L7 CC 策略在 EdgeOne、HTTP 漏洞在 WAF、机器安全在主机安全、账号安全在 MFA——只买 DDoS 防护而忽略上层，等于把「清洗干净的洪水」直接灌进食道。建议按「DDoS 防护 → EdgeOne（L7 CC + 加速）→ WAF（应用层）→ 主机安全（Agent）」的纵深顺序逐层补齐。
6. 100 Mbps 以下攻击可能不触发清洗。 默认仅对超过 100 Mbps 的攻击流量自动缓解，小流量分布式软攻击更可能被平台临时限流 / 封禁兜底——这类场景请优先用 EdgeOne 的 L7 CC 策略（自适应频率控制、智能客户端过滤、慢速攻击防护、限速）处理，而非指望 DDoS 防护的 L3/4 清洗。
7. 备案与合规别漏。 若业务涉及大陆访问与数据出境，需同步评估 ICP 备案、数据出境合规与 GDPR 等要求；DDoS 防护是技术层，合规是制度层，两者是「落地前提」与「制度框架」的关系，缺一不可。
相关阅读
- 腾讯云国际版 EdgeOne 安全加速平台实战：CDN + WAF + DDoS 一体化防护
- 腾讯云国际版 WAF 自定义规则与 Bot 管理实战
- 腾讯云国际版主机安全 CWP 实战：从 Agent 安装到暴力破解拦截
- 腾讯云国际版 CDN / ECDN / CLB / VPC / WAF 联动排障指南
🚀 需要腾讯云国际版高防、EdgeOne、WAF 或主机安全的一站式方案与专属折扣？ 欢迎联系我们获取选型建议与预算测算——从 2 Gbps 的免费基础防护，到大陆 1 Tbps、海外 10 Tbps 的承诺级高防，都能按你的真实攻击画像配出最省的组合。
本文由 4.chengzicloud.cloud 提供，点击访问首页了解更多。
常见问题（FAQ）
DDoS 防护有免费版吗？2 Gbps 的基础防护够用吗？
有，就是 Standard（标准防护）档——免费、默认开启、最高 2 Gbps。 只要你用的是腾讯云上具备公网访问能力的资源（CVM / CLB / EIP / WAF / LH），就已经自动享有这 2 Gbps 的 L3/4 防护，无需购买或配置。够不够用看攻击规模：探针式、小规模 Flood（几十 Mbps 到 1 Gbps 级）通常够；一旦出现稳定的多 Gbps 攻击或直接打瘫，就必须上 Advanced / Ultimate。判断标准很简单：看「攻击分析」里攻击峰值是否反复接近或超过 2 Gbps。
Essential 1,300 和 Premium 5,000 到底怎么选？
核心差别是「尽力而为缓解次数」和「受保护资源数上限」：Essential 每月仅 2 次缓解机会、含 25 个资源；Premium 不限次数、含 100 个资源。 因此——若你的业务一个月可能被打三五次，选 Premium 更稳妥，因为缓解次数耗尽后攻击可能直接触发黑洞封禁；若资源很少、攻击频率低，Essential 起步更省钱，后续可再升级。资源数超过 25 的中型业务也要重点掂量：超出部分按 7 USD/个/月计，25 个到 100 个之间的差额一年可差数千美元，很多时候直接上 Premium 反而划算。
清洗流量 10 TB 免费，超出怎么算？会不会很贵？
预付费套餐前 10 TB 清洗流量免费，超出部分预付费口径统一 0.06 USD/GB/月；后付费按量则按月度累计阶梯，大陆 0.1→0.03、海外 0.05→0.015、EO 域名/L4 代理 0.025→0.01 USD/GB。 换算一下：超出 10 TB 大约就是 614 USD 量级（10 TB = 10,240 GB × 0.06）。 贵不贵取决于攻击频率和流量规模——如果经常被大规模攻击，清洗流量会成为月度账单的最大变量，此时优先用 EO 承接流量（EO 单价最低）并评估是否需要购买额外清洗流量配额。
高防 IP 和 Anti-DDoS EIP 有什么区别？
两者都是「给公网 IP 做高防」，但归属不同口径。 Anti-DDoS EIP 是 DDoS Defender 新体系里的受保护资源类型之一，绑套餐 + 扩展包后可获得 Ultimate 档防护，大陆最高 600 Gbps–1 Tbps、海外 Tbps 级 Anycast。「高防 IP」 是业内对 Anti-DDoS Pro / Advanced 类产品的习惯叫法，在腾讯云国际版对应的是历史计费口径（2026-09-10 前存量客户）下的 Anti-DDoS Pro（按 IP 数 + 业务规模）和 Anti-DDoS Advanced（按保底防护带宽 + 弹性防护 + 转发规则）。新客户请直接按 DDoS Defender 的套餐 + EIP 资源方式规划，不要再按老的「买几个高防 IP」思路选型。
被黑洞封禁了怎么办？每天只能解封 3 次吗？
订阅套餐后，单个腾讯云主账号每天有 3 次自助解封机会；用完需等系统自动解封，或次日 0 点重置额度。封禁默认 2 小时、最长 24 小时，攻击持续 / 频繁 / 超大流量会延长。注意：封禁期间该资源完全无法接收公网访问（含正常业务）。 因此关键业务应把防护能力上限买到高于预期攻击峰值，而不是依赖事后解封——解封只是「止血」，抬高上限才是「预防」。
弹性防护是什么？新客户还能买吗？
弹性防护是历史口径（Anti-DDoS Pro / Advanced 存量客户）下的按天计费机制：不启用则最高防护 = 保底带宽、无额外费用；启用后未触发不计费，触发则按「当日攻击峰值 − 保底带宽」的档位计价（例：大陆 5 Gbps 以内 130 USD/天，200–250 Gbps 3,800 USD/天，900 Gbps–1.2 Tbps 20,000 USD/天），多 IP 场景每 IP 独立计算超出部分。新客户（2026-09-10 起）已切换为 DDoS Defender 套餐制，不再按弹性防护计价，而是由「套餐 + 扩展包 + 清洗流量阶梯」承担弹性部分。新老客户切勿按对方口径询价 / 下单。
为什么我买了 DDoS 防护还是被打挂了？
最常见三个原因：① 只买了 L3/4 防护，没配 L7 CC 策略——大流量清洗干净了，但应用层 CC 照样把小带宽 / 数据库打满，L7 策略需在 EdgeOne 配置；② 防护档位低于攻击峰值——防护上限 = 封禁阈值，买小了就是赌，赌输直接黑洞；③ 100 Mbps 以下的小流量攻击不触发清洗——这类分布式软攻击更可能被平台临时限流兜底，应交给 EdgeOne 的 L7 CC 处理。建议排查顺序：攻击分析看峰值 → 对防护上限 → 检查 L7 策略 → 检查带宽 / 数据库瓶颈。
DDoS 防护和 EdgeOne 到底该买哪个？
不是二选一，而是分层互补。 DDoS 防护（Anti-DDoS / DDoS Defender）负责 L3/4 大流量清洗（UDP/SYN/ICMP Flood、反射攻击、畸形包），按 Gbps / Tbps 度量；EdgeOne 负责边缘 L7 DDoS（CC）清洗 + CDN 加速 + WAF 一体化，按 QPS 度量，并提供自适应频率控制、智能客户端过滤、慢速攻击防护、限速等策略。典型组合：EO 域名接入 EdgeOne 拿边缘加速与 L7 CC 策略，同时对同一 EO 域名 / 后端资源买 DDoS Defender 拿 L3/4 大流量防护——两者能力互补，缺一层就有盲区。