攻击流量正冲向当前公网地址时，换地址看似直接，却不一定能止损。若新地址没有更强的清洗或访问控制，攻击者可能很快转向新目标；若改动牵涉域名解析、第三方回调或固定地址白名单，还可能先造成业务中断。规划受攻击业务更换公网地址的操作窗口规划，应先判断换址能解决什么，再选流量较低且各方能配合的时段。
先判断：换地址能否处理当前问题
换址较适合攻击明确针对旧 IP、服务可迁到隔离的新入口，并且网络服务商能保护或承载新地址的情形。若服务商确认流量已在网络侧清洗，或攻击针对登录、查询等应用功能，单纯换 IP 通常不能解决根因。此时应优先处置应用层负载、漏洞或访问策略，并请服务商说明新旧地址的防护安排。
还要区分公网地址的用途：面向用户的入口地址、源站地址和出站地址可能并不相同。若只换入口却仍公开旧源站，攻击者可能绕过入口直接访问源站；若地址由网络运营方通过 BGP 路由发布，切换还需由有权限的一方协调，不能按普通服务器改配置处理。
把窗口选在依赖已核清之后
较稳妥的窗口不是“攻击最猛烈的时候”，而是新入口已验证、值守人员和服务商在线、关键依赖方能够同步调整的时段。先列出域名解析、上游回源、合作方白名单、监控探测、邮件发送和远程管理等依赖；确认哪些使用 IP，哪些使用域名。依赖无法及时改完时，宜先并行保留旧入口或延期，而非仓促切断。
若通过 DNS 切换，可提前检查当前 TTL（缓存有效时间）。在解析服务可控、计划允许时，可在切换前约 24 至 48 小时将 TTL 调低到约 300 至 600 秒；这只是便于较快更新的常见设置范围，实际生效仍受递归解析器缓存和配置影响。攻击已经开始后才调低 TTL，无法清除此前缓存。
按顺序执行，给回退留出余地
- 确认目标地址可用：完成服务部署，核对入站规则、端口、证书绑定与健康检查；证书通常对应域名，但应用代理、访问控制仍可能依赖旧 IP。
- 盘点并通知依赖方：更新合作方白名单、回调目标、监控和运维访问配置。逐项记录责任人、完成状态和验证方式，避免只改 DNS 就认为切换完成。
- 短时并行验证：在不影响用户的前提下，用受控测试确认新地址能完成关键请求，并检查日志、错误率和服务商提供的流量信息。不要把新地址公开给无关人员。
- 切换并观察：按预定方案更新解析或路由，重点观察解析结果、连接成功率、响应错误和新旧地址流量。观察时长应结合 TTL、业务峰谷与服务商处理速度决定，不以固定分钟数代替判断。
- 满足条件后退役旧地址：确认主要用户已转到新入口、依赖方已更新且旧地址不再承载必要连接，再按服务商流程停用旧地址或限制访问。预先写明回退触发条件和执行人。
几个容易漏掉的判断
更换地址不是清除所有连接状态的按钮。DNS 缓存可能让部分用户继续访问旧地址；固定 IP 客户端则可能完全不会跟随解析变化。若旧地址仍在服务，应持续保护并监控，避免它成为绕过新入口的通道。新地址也需确认 DDoS 清洗能力、容量和网络策略与预期一致，不能仅凭“地址不同”推断风险降低。
如果攻击期间无法验证新地址，或切换会造成关键依赖失联，优先采用服务商支持的临时防护和限流措施，同时准备迁移；若旧地址已无法稳定提供服务，且新入口、防护和回退方案均已就绪，则可在授权人员值守的维护窗口执行。归根结底，受攻击业务更换公网地址的操作窗口规划，核心是让防护先于切换、验证伴随切换、回退跟随观察。
常见问题
攻击正在发生，可以立刻改 DNS 吗？
只有在新地址已验证、解析和依赖配置可同步、旧地址仍有保护或可安全退役时才适合。否则先联系服务商确认临时防护方案。
降低 TTL 后，所有用户都会马上切到新地址吗？
不会。既有缓存、客户端自带缓存和固定 IP 配置都可能延迟或绕过更新，TTL 不能保证全球同时切换。
换地址后能否立即释放旧地址？
不宜仅凭 DNS 已更新就释放。应先核实主要流量已迁移、回调和白名单已改，并确认旧地址不再承载必要连接。