針對 DDoS 攻擊，路由器可部署「門限值演算法」動態限流保護伺服器。本文解析演算法運作流程、引入監控路由器優化資源、並列出部署評估三大指標，供網管人員參考部署。

核心演算法流程

設伺服器 S 門限上限 Us=22、下限 Ls=18。當攻擊流量使 S 負載超過 Us，演算法於 S 啟動門限機制，計算公平速率 (例 6.25) 並下發至上游路由器 R(3) 執行限流。調節後 S 負載降至 20.53，R(3) 各路徑速率達公平分配。

引入監控路由器優化

基本演算法會使 R(k) 階層快速擴張，浪費無攻擊路徑資源。若在 S 與 R(k) 間部署監控路由器，可即時偵測路徑負載，僅對受攻擊路徑施策，未受攻擊路徑門限值取消，提升整體效能。

部署評估三大指標

1. 正常用戶保留率：門限機制下，合法用戶仍能存取服務的比例。
2. 介入路由器數量：啟動防護所需配合的上游路由器節點數，越少部署成本越低。
3. 需求變化應變能力：面對突發流量模式改變 (如閃眾、殭屍網絡協同攻擊) 的調適速度。

實務部署三大原則

1. 訊息可靠性：門限值訊息進入邊緣路由器前必須驗證簽章，防止機制本身成為攻擊目標。
2. 傳輸安全與優先權：控制訊息量小，應給予高優先權、鑑權傳輸；伺服器端建議加裝協處理器避免瞬間超載導致調控失效。
3. 部分部署即生效：不需全網支援，受攻擊路徑上有一台支援門限值的路由器即可生效。

結語

門限值演算法提供動態、分散式的 DDoS 緩解能力，配合監控路由器與完善驗證機制，可在不犧牲正常服務前提下有效吸收攻擊流量。部署前請依三大指標評估成本效益，並納入營運商合作規劃。