去年秋天，高防一个做棋牌类游戏的高防朋友半夜给我打电话，说服务器又被打挂了。高防这已经是高防他当月第三次被DDoS清洗，每次持续半小时到两小时不等，高防攻击峰值没超过80Gbps，高防但足够让他的高防支付接口全部超时。他用的高防那家高防CDN号称300G防护，可攻击一来，高防回源率直接飙到90%以上——钱花了，高防罪没少受。高防

问题出在哪？高防他买的是“共享高防IP”套餐。服务商把几十个客户绑在同一个清洗中心，高防攻击流量一旦超过某个阈值，高防系统会优先保大客户。高防他的小业务就像合租房里最晚回家的那个，热水永远轮不到他。后来我让他换了一家支持“独立高防IP+按流量计费”的小厂，贵了不到三成，但攻击来时清洗响应从秒级降到毫秒级，回源率压到5%以下。高防CDN这东西，便宜和靠谱往往不在一个频道上。

别只看防护峰值，看清洗能力

很多销售会甩给你一个数字：“我们单节点1T防护。”听起来很猛。但你要问清楚：这个1T是总带宽还是单IP防护？清洗设备是硬件还是软件？能不能防住混合型攻击——比如同时打SYN Flood和HTTP慢速连接？

我见过一个做跨境电商的案例。攻击者用了不到20G的流量，但全是模拟真实用户行为的CC攻击，每个请求都带着完整的TCP握手和合法Header。那家高防CDN的规则库没更新，硬是没识别出来，源站数据库连接数爆了。后来他们加了“行为分析+速率限制”的规则，才把问题按住。防护峰值再高，识别不了攻击特征也是白搭。

回源策略决定你的真实成本

高防CDN的计费陷阱通常藏在回源流量里。攻击被清洗后，正常的用户请求还是要回源拿数据。如果CDN节点缓存命中率低，每次回源都算钱。一个中型电商站，日常回源流量可能只有几十GB，但被攻击时，清洗中心为了验证请求合法性，会频繁回源探测，流量能翻十几倍。

我的做法是：静态资源全部预热到边缘节点，动态接口设置短TTL缓存，同时开启“回源白名单”——只允许高防节点回源，源站防火墙直接拒绝其他IP。这样即使攻击者拿到源站真实IP，也打不进来。有个做直播的朋友更狠，他把源站放在内网，通过专线连到高防节点，彻底断了公网回源的路径。成本高了点，但睡得踏实。

隐藏源站IP比防护本身更关键

攻击者不傻。他们先扫你的子域名、查历史DNS记录、甚至从你的邮件服务器头里找源站IP。一旦拿到真实IP，高防CDN就成了摆设——直接打源站，防护再强也没用。

我习惯做三件事：第一，用CDN服务商提供的CNAME接入，不直接解析A记录；第二，源站只开放高防节点的回源端口，其他端口全关；第三，定期用第三方工具扫自己的域名，看有没有泄露的IP。有一次我帮一个客户做检查，发现他的开发环境域名没加防护，解析到同一个源站IP。攻击者就是从那台开发机入手，先打掉测试环境，再顺藤摸瓜找到生产环境。细节上的疏忽，往往比攻击本身更致命。

别忽略日志和告警

高防CDN的控制台通常有流量报表和攻击日志。但很多人只看“是否被打挂”，不看“攻击来自哪里、用什么手法”。我设置了一个简单的规则：当清洗流量超过10Gbps或者回源错误率超过5%时，自动发短信到手机。有一次凌晨三点收到告警，爬起来一看，攻击源全是南美某国的IP，手法是UDP反射。我直接在CDN后台封了那个地区的流量，攻击瞬间归零。没有日志和告警，你永远是被动挨打。

高防CDN不是买完就完事的保险箱。它更像一套需要你亲自调校的安防系统——选对节点、藏好源站、盯紧回源、看懂日志。那些号称“一键接入、永久免维护”的，要么贵得离谱，要么关键时刻掉链子。自己多花半小时研究配置，比事后打客服电话骂娘有用得多。