入口没有明显流量洪峰，玩家或用户却频繁遇到等待、超时，可能是连接被长时间占用。排查游戏入口遭受慢速连接攻击时，先别只盯带宽；这类问题的特征可能是连接数量不低，但每条连接传输很少、持续很久。以下五类指标可以帮助新手从入口层逐步判断。
先统一观察范围
选定同一台入口网关、同一业务和固定时间窗，建议先看近15至30分钟，再与此前相同业务时段比较。记录监控采样间隔和入口是否有负载均衡、反向代理；不同层的统计口径可能不同，不能把网关连接数直接当成应用连接数。排查游戏入口遭受慢速连接攻击，重点是趋势、持续时间和业务影响能否相互印证。
先看这5类指标
1. 连接建立与完成比例
查看新建连接数、握手成功数、握手失败或超时数，以及系统是否报告半开连接队列压力。若尝试建立的连接增加，而成功完成的比例下降，可能存在连接建立阶段异常；若握手正常，却有大量会话迟迟没有有效请求，则应继续查应用层。队列告警也可能由突发正常流量或配置不足引起，单项不能定性。
2. 连接持续时间和有效传输
比较活动连接的存续时间、空闲时间、每条连接接收的数据量，以及请求头或请求体完成耗时。慢速连接常表现为少量数据分散在较长时间内，连接长期占用却没有完成请求。正常移动网络也会出现短暂停顿，因此要看长时间连接的比例是否相对基线突增，而不是仅凭一条慢连接判断。
3. 并发连接与资源占用
同时检查入口活动连接数、文件描述符使用量、代理连接池使用率和等待队列长度。若连接数持续逼近已配置上限，空闲连接又占多数，服务可能因可用连接被占满而拒绝新请求。重点记录上限、当前值及变化速度；不要只因数值偏高就盲目扩大上限，否则后端承载能力不足时可能加重拥塞。
4. 来源分布与连接变化
按来源地址、网段、地区或接入节点汇总新建连接、连接时长和请求完成率，并观察是否集中在少数来源、短时间出现大量相似行为。来源分散不代表一定正常，集中也不等于攻击；共享网络、代理和大型活动都可能造成分布变化。判断时结合请求特征和业务时段，避免只凭来源数量封禁用户。
5. 业务延迟、错误率与入口负载
对照入口等待时间、请求超时率、成功率、后端排队和网关内存等指标。若业务错误上升而带宽仍有余量，且空闲长连接、连接池占用同步增加，更值得检查慢速连接；若多个业务同时出现延迟，则也要排查链路或共享入口故障。可查看反向代理访问日志中请求完成状态与耗时，但需确认日志记录的是连接时间还是请求处理时间。
按顺序核实，避免误封
确认告警对应的入口、业务和时间窗，并与平常相同时段比较。
把连接建立、连接时长、并发量和业务错误放在同一时间线上，找出先变化的指标。
抽查少量异常连接的请求进度和日志字段，区分握手未完成、请求头未完成与后端处理慢。
核对近期配置变更、发布和流量活动；确认异常后，再按入口产品支持的方式启用连接速率限制、空闲超时或请求读取超时。
调整后持续观察正常用户的成功率与超时率，并保留变更前后指标，确保防护没有误伤慢速网络用户。
超时值应结合协议、客户端网络和正常请求耗时设置，不宜照搬固定秒数；过短可能中断合法请求，过长则可能继续占用资源。游戏入口遭受慢速连接攻击的判断，应由多项指标共同支持，再采取分层、可回退的处置。
常见问题
流量不高，为什么入口仍会卡？
带宽统计反映传输量，不等于连接占用情况。少量数据维持大量长连接，也可能耗尽入口连接资源。
连接时间长就一定是攻击吗？
不是。移动网络波动、客户端暂停或正常长连接也会延长会话，需结合请求是否完成、资源占用和基线变化判断。
新手最先该调小超时吗？
不建议先改配置。先确认异常连接所在层级和正常请求耗时，再小范围调整并监测误断情况。
日志没有记录完整请求，能否判断？
可以先用网关连接统计和系统队列指标缩小范围，再核查日志采集是否覆盖请求开始、完成状态及耗时；证据不足时避免直接封禁来源。