CC攻击穿CDN怎么办？实用防护思路

前几天刚帮一个朋友处理完CC攻击，刚好就是那种穿了CDN还打过来的情况，网站直接瘫了半小时，急得他直跳脚。所以今天就聊聊cc攻击穿CDN怎么办？实用防护思路，都是我踩过坑之后总结出来的，不是那种书本上的空话，看完就能用。很多人以为上了CDN就万事大吉，不会被攻击了，其实真不是这么回事，CDN只是帮你挡了大部分，真要遇到有心的攻击者，穿过来也不是什么难事，还是得自己懂点防护思路才行。

cc攻击穿CDN怎么办？先搞懂为什么能穿过来

其实原理说起来也不复杂，大多数情况都是源站IP泄露了。你想啊，CDN的作用是把所有流量都引到节点去，隐藏源站真实IP，但是要是你的源站IP之前被泄露过，比如之前没上CDN的时候解析过，或者曾经把源站IP写在某个域名查询的帖子里，那攻击者直接针对源IP发起CC攻击，流量根本不经过CDN，CDN当然就没用了，等于完全没挡住。还有一种情况，就是你的CC攻击流量太大，超过了你CDN套餐的防护清洗容量，CDN拦不住这么多，一部分就漏到源站了，别看CDN节点带宽大，你要是买的基础套餐，防护容量本来就小，稍微大点的攻击就穿了。还有更绝的，攻击者就是打CDN节点，把节点搞崩了，你的网站自然也就打不开了，这种情况虽然少，但也不是遇不到。我那个朋友就是第一种，源站IP几年前就泄露了，人家直接打源站，CDN连流量都没看到，源站先扛不住了。

先封死攻击入口，换源站IP是首选

遇到这种情况，第一步别慌，要是确定源站IP已经泄露了，别犹豫，直接换源站IP。换完IP之后，把所有旧的解析记录全删掉，只留CDN对应的解析记录，然后最关键的一步：去源站服务器的安全组或者防火墙里，只放通CDN服务商给的节点IP段，其他所有IP访问80、443这些web端口全部拒绝。这样一来，攻击者就算知道旧IP，也打不到你的源站了，新IP没泄露，攻击者根本找不到，攻击自然就断了。这里提醒一下，CDN节点IP段一般都能在服务商后台找到，具体怎么配置以服务商或官方页面说明为准，别嫌麻烦，这一步做了，能挡住至少八成穿CDN的攻击。我帮我那个朋友弄完之后，攻击立刻就停了，源站负载直接从100%降到10%不到，效果立竿见影。

调整CDN防护配置，很多人都忘了这步

很多朋友开了CDN就不管了，默认配置根本不够用，你得自己动手调。现在稍微正规点的CDN都带CC防护功能，能调单IP请求频率，单IP连接数，还能针对特定URI做拦截。CC攻击本来就是大量肉鸡短时间内发起大量请求，你把单IP每分钟请求数调到一个合理的范围，比如正常用户一分钟也就几次最多几十次，你调到五十次，超过的直接拦截，一下子就能把大部分攻击拦在CDN层面。还有就是开启常见的拦截规则，比如对phpMyAdmin这类后台地址的拦截，很多攻击者就是扫这些地址发起攻击的，提前拦了就没事。要是你的网站主要做国内生意，根本没有海外流量，那干脆把海外IP段全拦了，现在很多攻击都是海外肉鸡发起的，这招没成本，效果还特别好。我自己的站就开了这个，拦了不知道多少莫名其妙的请求。

源站本地加层防护，别把所有希望放CDN

真的，别把所有防护都寄希望于CDN，源站本身也得做点防护，又不麻烦，很多还免费。比如你用nginx做web服务器，自带了limit_req模块，简单改两行配置就能限制单个IP的请求数，根本不用额外装东西，配置完重启一下nginx就好了，我自己的站一直开着，少说拦了一半的恶意请求。要是你用的是apache，也有类似的模块，网上搜一下教程十分钟就能弄好。要是你懂点代码，还能在程序层面加拦截，比如同一个IP一分钟访问超过多少次就直接返回403，比服务器层面拦截更精准。还有，服务器上装个简单的防火墙，比如免费的fail2ban，能自动封掉短时间多次请求失败的IP，也能挡不少小攻击。这些都是花半小时就能弄好的事，真遇到攻击能帮你省好多事。

攻击量大扛不住？那就升级防护容量

要是你换了IP，调了CDN配置，源站也加了防护，还是扛不住，那说明这次攻击的量确实超过了你现有防护的容量，这个时候就该升级了。要么直接升级你现在用的CDN的防护套餐，要更高的清洗容量，要么另外加个高防IP放在CDN前面，反正该升级就升级，总不能看着网站一直瘫着对吧？其实很多小站站长，一年也遇不到几次大攻击，真遇到了临时升级也来得及，不一定一开始就要买最贵的套餐，成本也能控制。当然，前提是你选的正规服务商，能支持随时升级，别找那种连升级都要等三五天的，到时候网站早就凉透了。

其实说来说去，现在做站，遇到攻击真不是什么稀罕事，哪怕你用了CDN，也不能保证百分百不被穿，关键还是提前做好准备，平时注意不要泄露源站IP，做好IP准入控制，提前调好CDN防护，真遇到了也不用慌，一步步来，先换IP封入口，再调配置加防护，大部分攻击都能搞定。最后提醒一句，别贪便宜用那种不知名的免费CDN，那种CDN本身就没什么防护能力，真遇到攻击分分钟就穿，选正规服务商才是最省心的。