CDN结合防火墙实现全方位DDoS防护

把CDN和防火墙拆开来看，单独用哪一个都防不住现在的大流量混合攻击。CDN擅长扛住海量流量，但面对精准的应用层耗尽攻击往往力不从心；传统防火墙能精准拦截恶意请求，可一旦遭遇百G以上的流量型攻击，自身带宽入口瞬间就会被塞满。真正的全方位防护，是把CDN的分布式流量稀释能力与防火墙的深度包检测能力做策略联动，让CDN充当外围的流量过滤器，防火墙作为内核的规则引擎，二者配合才能把清洗链路跑通。

SYN Flood、UDP Flood、ICMP Flood这类攻击本质上就是拼带宽、拼连接数。攻击者用大量僵尸主机向源站发包，目的就是耗尽入口带宽或者服务器连接表。CDN的防护逻辑很直接：利用全球分布的边缘节点把攻击流量分散开。当某个节点接收到异常流量时，该节点的清洗设备会立即启动源认证和限速策略，而不是把所有流量都回源到你的服务器。更重要的是，CDN的智能调度系统能在检测到某个节点遭受超大规模攻击时，迅速将该节点流量牵引至就近的高防清洗中心，保证正常用户请求不受影响。这种架构下，攻击流量在离用户最近的地方就被消化掉了，根本到不了源站。

HTTP Flood、Slowloris慢速攻击、CC攻击这些应用层攻击，特点就是请求本身看起来是“合法”的，TCP三次握手正常完成，甚至连Cookie都带着，单纯靠流量阈值很难识别。这时候需要防火墙介入，做深度包检测和行为分析。好的Web应用防火墙会针对HTTP请求的URI、User-Agent、Referer、Cookie等字段建立基线模型，一旦发现某个IP的请求频率异常、访问序列不符合人类浏览习惯、或者UA特征与正常浏览器不匹配，立即触发验证码挑战或直接阻断。更关键的是，防火墙能对HTTPS流量做解密检查，这是很多单纯做四层转发的CDN节点做不到的。

CDN和防火墙不能各自为战，必须打通控制面。当CDN边缘节点检测到某个域名下出现应用层攻击特征时，需要实时把攻击特征同步到防火墙管理中心，防火墙根据这些特征自动生成临时拦截规则，再下发到所有边缘节点。反过来，如果防火墙在深度检测中发现某个IP段存在大量恶意扫描行为，可以通知CDN调度系统对该IP段实施区域封禁或降低访问优先级。这种双向的策略联动，靠的是API接口的自动化调用，而不是人工登录两个后台去手动配规则。人工响应速度根本跟不上攻击节奏的变化，等你发现网站打不开了再登后台，攻击可能已经持续了十几分钟。

一套成熟的全方位防护架构通常分为四层。第一层是CDN边缘节点的粗粒度过滤，基于IP信誉库、GeoIP地理位置、以及简单的速率限制，把明显恶意的流量挡在最外层。第二层是CDN中心节点的协议栈清洗，专门处理SYN Flood、ACK Flood等协议型攻击，通过SYN Cookie、连接代理等方式保护源站协议栈不被耗尽。第三层是防火墙的精细检测，对HTTP/HTTPS请求做语义分析、注入检测、跨站脚本检测，同时结合业务风控模型判断请求是否来自真实用户。第四层是源站本地的兜底策略，万一前三层都没拦住，源站服务器上还要有一套基于内核层面的连接限制和自动拉黑机制。四层防线各司其职，任何一层被突破都不会导致整体失守。

现在超过90%的网站都启用了HTTPS，这给DDoS防护带来了新挑战。攻击者同样可以用TLS握手消耗服务器CPU资源，这就是所谓的SSL/TLS耗尽攻击。CDN节点需要承担TLS卸载的工作，在边缘完成解密，然后把明文请求通过内部专线转发给防火墙做内容检查，检查通过后再决定是否回源。这里有个关键细节：证书私钥的管理。为了安全，私钥通常只存放在CDN平台和源站，防火墙如果需要做解密检查，就得通过CDN转发明文流量，或者在防火墙上单独部署一套证书管理方案。两种方式各有利弊，前者架构简单但增加了CDN到防火墙之间的延迟，后者安全性更高但运维复杂度也上去了。

静态资源如图片、CSS、JS文件，天然适合CDN缓存，攻击者对这些资源的请求根本到不了源站，CDN节点直接返回缓存内容即可。真正麻烦的是动态接口，比如登录、注册、搜索、支付这些需要实时计算的操作，没法缓存，攻击者打的就是这些接口。针对动态接口的防护，需要防火墙和CDN配合做更精细的策略。例如，对于登录接口，防火墙可以限制单个IP每分钟的尝试次数；对于搜索接口，CDN可以在边缘对请求参数做哈希去重，同一个搜索词短时间内重复请求直接拦截。这些策略需要根据业务特性定制，没有通用的模板，这也是为什么很多企业买了高防服务还是被打穿的原因——策略没配到位。

即使CDN和防火墙配合得再好，攻击者如果直接获取到源站真实IP，前面的所有防护都会失效。源站IP泄露的途径很多：DNS历史记录、邮件头信息、未经过滤的API响应、甚至SSL证书的透明度日志。防护措施包括：源站只允许CDN回源IP白名单访问，其他所有IP一律拒绝连接；使用CNAME方式接入CDN，避免A记录直接暴露；定期更换源站IP，尤其是在发生过大规模攻击之后；监控全网扫描平台，一旦发现源站IP出现在扫描结果中立即告警。这些操作看起来琐碎，但每一条都是实战中血的教训换来的。

防护策略不是一劳永逸的，攻击手法在变，业务形态也在变。CDN和防火墙每天产生海量的访问日志，这些日志是优化防护策略的原材料。通过分析被拦截的请求特征，可以发现新的攻击模式；通过统计正常用户的访问分布，可以校准速率限制的阈值，避免误伤。建议把CDN日志和防火墙日志统一接入大数据分析平台，用SQL或者脚本定期跑一些分析任务。下面是一个简单的日志交叉分析思路，用伪代码表示：

# 从CDN日志中提取被拦截的请求IP
# 与防火墙日志中标记为恶意的IP做交集
# 找出同时触发两层防护的高危IP

cd -n_blocked_ips=$(cat cdn_log.json | jq -r 'select(.action=="block") | .client_ip' | sort -u)
waf_malicious_ips=$(cat waf_log.json | jq -r 'select(.severity>=3) | .src_ip' | sort -u)

echo "$cdn_blocked_ips" | while read ip; do
    if echo "$waf_malicious_ips" | grep -q "$ip"; then
        echo "高危IP: $ip，建议加入永久黑名单"
    fi
done

这种分析能帮你发现那些同时触发两层防护的顽固攻击源，针对这些IP可以直接在CDN层面做永久封禁，减少防火墙的计算开销。

全方位防护是有成本的，CDN的带宽计费、防火墙的QPS计费、高防清洗中心的按次收费，加起来是一笔不小的开支。不是所有业务都需要顶配防护，得根据自身风险等级做取舍。小型企业站点，CDN自带的基础DDoS防护加上云防火墙的标准版通常够用；中型电商或游戏平台，建议上CDN的企业版高防套餐，配合专业版防火墙做应用层策略定制；大型金融机构或政务平台，那就得考虑独立的高防清洗中心加硬件防火墙的物理部署方案，同时还要做多线BGP接入，确保单条线路被打满时能自动切换。关键是要定期做攻防演练，别等到真被打的时候才发现某个环节的配置有漏洞。

传统的阈值触发和规则匹配正在被机器学习模型取代。CDN平台现在能基于流量基线自动学习正常业务的波动规律，比如工作日流量高、凌晨流量低、大促期间流量暴涨，这些都不应该触发告警。防火墙的行为分析模型也在进化，不再依赖固定的规则库，而是通过用户访问的点击流序列、鼠标轨迹、设备指纹等多维特征来判断请求是否来自真人。这些AI能力正在从云端下沉到边缘节点，未来CDN节点本身就具备智能决策能力，不需要把流量转回中心做分析，延迟更低，实时性更强。对于企业来说，选择CDN和防火墙方案时，要关注厂商在AI防护方面的技术积累，这直接决定了防护体系能走多远。