站点突然完全打不开，SSH 也连不上，控制台提示实例进入黑洞状态。这不是服务器坏了，而是流量超过阈值后，云厂商在入口处把流量整个丢弃。
先确认是黑洞还是宕机
控制台的实例状态仍显示运行中，但外网不通、内网正常，基本就是黑洞。安全中心的攻击记录里能看到攻击类型和峰值带宽，按时间点对一下就能确认。
黑洞期间不要做的事
- 反复重启实例，重启不会解除黑洞
- 频繁更换 IP 试探，可能延长封禁
- 直接放开所有端口排查，等于扩大攻击面
恢复后立刻收缩暴露面
ss -s
ss -ant | awk '{print $1}' | sort | uniq -c
看连接数和状态分布，SYN_RECV 异常多是 SYN 洪泛。配合安全组只放行必要端口，把源站 IP 藏到 CDN 后面，能挡掉大部分直接打 IP 的攻击。
长期方案
业务量大的站点建议接入高防或带防护的 CDN，把清洗放到边缘。黑洞是兜底手段，触发一次就说明当前架构没有缓冲，恢复时间也不可控。
平时把源站 IP 记在内部文档里，不要在邮件、工单或跳转链接里暴露。攻击者扫到真实 IP，前面的防护配置就形同虚设。