高防 CDN 如何选：CC 与 DDoS 防护、缓存和源站暴露

高防 CDN 能挡住什么

高防 CDN 通常把边缘缓存、WAF、速率控制和部分 DDoS 缓解整合在一起，但功能因套餐而异。针对静态页面的带宽攻击可以由边缘分流；动态接口的高频请求要结合访问规则、验证码策略、应用限流与源站容量。只有 HTTP/HTTPS 经代理的流量才天然受相应 Web 边缘防护，直接访问源站 IP 或其他协议服务可能不在保护范围。

部署顺序

1. 盘点业务域名、API、WebSocket、上传接口和不可缓存路径。
2. 测试 DNS 切换、TLS 证书、真实客户端 IP 传递和健康检查。
3. 为静态资源配置正确缓存键，动态登录和支付路径保持私有、不缓存。
4. 限制源站只允许可信代理接入，检查历史 DNS 记录、邮件服务和 IPv6 地址是否泄露源站。
5. 在测试流量下确认 WAF 误判处理以及回滚方式，避免把真实用户当攻击封禁。

如何验收宣传的清洗能力

厂商可能宣传 Tbps 总容量，但那不是单个域名可获得的保证额度。要求查看服务条款中的清洗触发策略、单站限制、四七层能力及工单流程。应用层防护看正常用户误封率、攻击期间响应率和源站资源负载，而不是只看一次宣传演示。

相关实用指南

• 高防服务器迁移与 DDoS 防护
• 免费 CDN 能否用于生产

官方参考资料

• Cloudflare 官方介绍不同层面 DDoS 检测与缓解机制
• Cloudflare 官方介绍基于请求条件的限流及误封处理思路。