先给结论：如果你只使用 Fastly CDN，应先评估常规 Shielding；如果多个 CDN 共用一个对象存储源站，则应对比 Akamai Cloud Wrapper 与 Fastly Media Shield，而不是拿 Cloud Wrapper 直接和一个 Fastly Shield POP 判胜负。 真正的选型指标也不是厂商广告中的最高命中率，而是业务在同一条件下的源站回源字节、回源请求、突发峰值和单位内容交付总成本。
本文针对直播/点播切片、游戏包、海量图片等可缓存内容；不把缓存层描述为 DDoS 清洗设备，也不宣称本站完成过两家厂商的跨平台性能实测。资料核对日期：2026-10-29。
1. 三种产品分别解决什么问题？
| 产品 | 放在哪里 | 对用户已有 CDN 的依赖 | 适合的首要问题 | 实施前需确认 |
|---|---|---|---|---|
| Fastly Shielding | Fastly Edge 与源站之间，指定一个 Shield POP | 以 Fastly 服务为基础 | 多区域 Fastly 边缘重复回源 | 选址、后端分配、VCL/Compute 行为、计费 |
| Akamai Cloud Wrapper | Akamai 交付链路里的专用缓存容量层，可支持经过授权的第三方 CDN | 需签约并确认受支持交付产品 | 多 CDN / 高价云源站 / 热点爆发 | 容量合同、支持的产品、第三方 CDN 接入 |
| Fastly Media Shield | 多家 CDN 与真正源站之间的媒体源站中间层 | 需要单独的服务方案 | 多 CDN 视频内容统一源站缓存 | 当前可售方案、支持的媒体工作流、账单 |
这是一个架构与使用场景的比较，不是同等级报价单对比。Akamai 的入门文档明确 Cloud Wrapper 要先分析容量并加到合同，且第三方 CDN 支持限定在部分交付产品。其Multi-CDN 文档给出第三方 CDN 默认合计 20Gbps 限制，需要更高上限应向客户团队申请；因此不能说“买了 Cloud Wrapper 就无限跨 CDN 接入”。Fastly Media Shield 产品页则将其描述为多 CDN 的集中式媒体源站缓存。
安全边界： Cloud Wrapper 和 Shield 通过缓存避免源站收到大量正常的重复读取请求，但不能代替 BGP 引流清洗、DDoS L3/L4 防护、WAF 或源站访问控制。遇到攻击时，缓存只影响可缓存的请求；针对动态接口、连接耗尽、源站 IP 直连的攻击仍要另设防线。
2. 从请求流向看差异，而不是只看“缓存命中率”
只用 Fastly： 用户 → Fastly Edge（HIT/MISS）→ 指定 Shield POP（HIT/MISS）→ 源站。Edge MISS + Shield HIT 仍能免除一次源站读取。Fastly 文档提醒，一个进入 Shield 的请求可能同时被 Edge 和 Shield 统计，因此全球 HIT 比率可能看起来“变低”，但真正源站请求已减少；这些节点之间的流量也可能进入 Fastly 账单。参阅Shielding 概念与配置文档。
多家 CDN： 用户 → CDN-A / CDN-B → 共享上游缓存层 → 对象存储。当两家 CDN 都请求同一视频切片时，共享上游层有机会把两次 MISS 合并成一次源站读取。Cloud Wrapper 与 Media Shield 均有此类用途，但实现和合同不是一样的。对多 CDN 架构应先确定谁来签名请求、谁负责回源重试、谁保有可观测日志，以及切换 CDN 时是否还可使用同一缓存命名空间。
六个最影响真实卸载率的细节
- 缓存键：相同视频段是否被不同签名参数、Host、Query String 拆成多个缓存对象？不要为“提升命中”随意丢弃鉴权参数，除非已在可信边缘完成授权且验证不存在跨用户泄漏。
- TTL 与失效：视频切片、播放列表 Manifest、用户 API 使用不同 TTL。片段可以较长，但直播播放列表必须按业务更新时间配置；上线新片、版权撤回要有清除/版本化路径。
- Range / 206：大文件下载和播放器 Range 请求的缓存行为必须单独测。不能把小对象 200 HIT 率直接套到分段、跳播与断点续传。
- 请求合并：高并发冷启动是关键。Fastly 官方Request Collapsing解释了请求合并的作用；但 PASS、不可缓存响应、错误状态都可能绕过理想路径。
- 回源鉴权：多 CDN 接 Cloud Wrapper 要按官方 Simple Header Authentication配共享密钥、过期与签名；建立密钥轮换流程，避免公开裸源站。
- 故障与热缓存：一旦 Shield/缓存故障，所有 Edge MISS 是否集中砸向源站？要在应急演练中验证源站限流、备用缓存、回退与缓存预热。
3. 可复算的费用例子：什么情况下第二层缓存值得买？
以下是教学示例，全部输入是假设值，不是 Akamai 或 Fastly 运行结果或报价。为了不混淆单位，统一按十进制 1TB=1000GB 计算。
假设某点播平台每月 CDN 下发量 500 TB，当前边缘 CDN 对源站的读取量为 125 TB。启用独立上游缓存层后，在可比实验中测得源站实际读取 40 TB：
| 指标 | 不使用第二层缓存 | 加入第二层缓存 | 说明 |
|---|---|---|---|
| CDN 对终端交付 | 500 TB | 500 TB | 对照假设：业务体量不变 |
| 真正源站读取 | 125 TB | 40 TB | 必须从源站账单/日志核对 |
| 源站读取减少 | — | 85 TB | 125 − 40 |
| 相对源站卸载提升 | — | 68% | 85 ÷ 125，不是总 CDN HIT 率 |
| 假设源站出口单价 | $0.04/GB | $0.04/GB | 教学用自定义输入，不是厂商报价 |
| 假设源站出口费用 | $5,000 | $1,600 | 不含请求费与税费 |
| 假设月节省 | — | $3,400 | 尚未扣除缓存服务收费 |
此模型给出的不是“买哪家更省”，而是增购上游缓存层的盈亏门槛：如果专用缓存/Shield 额外月总费用（含容量、入站、运维、失效重试）高于 $3,400，则在这些假设下不靠源站出口费回本；如果低于它，才有进一步评估价值。不同云商对私网出口、请求和跨区域传输的收费口径不同，真实账单应按每一类费率拆开。
可以把下面的简式放进自己的表格：
减少的源站 GB = 基线 Origin Egress GB - 试验期 Origin Egress GB
节约金额 = 减少的源站 GB × 实际源站有效费率
净节省 = 节约金额 + 避免的源站请求费 - 新增 Shield / 容量 / 运维费
卸载率 = 1 - （试验期真实源站读取量 ÷ 可比基线源站读取量）
注意反例：如果业务大部分是不可缓存的个性化 API，Fastly 文档指出 PASS 流量也可能经过 Shield，带来额外节点计费而没有对应的缓存收益。此时不应盲目启用全站 Shield。
4. 上线前的 7 日对照测试怎么设计？
不要随意切换整站 CDN 然后比较两天的 HIT 图表。建议采用固定对象类型、固定地区、可比请求量的 7 日试验；直播大事件另外做峰值演练，不把节假日流量与工作日平比较。
| 必采指标 | 取数位置 | 为什么必需 |
|---|---|---|
| 源站 Egress GB（按日/小时） | 对象存储账单与服务器出口统计 | 实际能省钱的字节数 |
| Origin GET / HEAD / 206 请求数 | 源站访问日志 | 发现 Range 与请求合并差异 |
| Edge HIT / Edge MISS / Shield HIT | CDN 实时日志 | 解释缓存路径，不替代源站数据 |
| 404/403/5xx、源站连接数 | 源站/CDN | 发现权限、回源重试和源站过载 |
| 播放失败、缓冲率、P95 TTFB | 播放器 RUM/监控 | 防止靠牺牲用户体验省回源 |
| 新增缓存层月度折算费用 | 合同/实际计费 | 防止“流量节省但总体成本上升” |
建议测例：① 同一热门 VOD 切片跨地区并发读取；② 新视频刚上传的冷启动；③ HLS/DASH 切片与 Manifest 分开对照；④ 同文件不同 Range 头；⑤ 带签名 Query 的 URL；⑥ 回源报错 500、缓存刷新与 CDN 切换。对业务中的私密用户数据建立测试对象，严禁把敏感响应做公共缓存。
测试通过条件应由业务方写成可验收数字，例如“源站出口下降达到合同测算门槛，P95 TTFB 和播放缓冲率不超过约定值，发生缓存失效后恢复时间可接受”；不要把这些内部阈值写成厂商承诺值。
5. 采购决策与上线回滚
- 单 Fastly CDN：先检查缓存键、TTL 和已有请求合并，再开启针对缓存对象的 Fastly Shielding。开启前评估双 POP 统计及账单问题。
- 多 CDN 媒体与下载：同时让 Akamai Cloud Wrapper 和 Fastly Media Shield 按相同对象库、地理位置、源站费率与峰值出技术与商务方案。Cloud Wrapper 的合同缓存容量、多 CDN 许可及默认 20Gbps 阈值必须写入清单。
- 源站承受不了瞬时 MISS：比常规 HIT 率更应该检查冷启动、批量清除时的源站并发，以及备用源站/缓存恢复策略。
- 动态 API 占主：先分离动态与静态流量，评估是否根本不需要第二层缓存。
推荐分阶段发布：先将一个可回滚的视频路径或次要下载域名接入，保留原路由；监控源站字节、403/5xx、播放成功率与成本，再扩大覆盖。出现鉴权错误、异常回源暴增或用户体验下降时，能立即恢复到原回源路由，而不是在事故中重新设计 DNS。
6. 读者最容易问的三个问题
Q：Cloud Wrapper 是否就是 Akamai 的默认 CDN 缓存？ 不是。其专用容量、兼容产品与合同变更需另外确认。见官方上手文档。
Q：Shielding 打开后 Origin Offload 一定更高吗？ 不一定。若流量大多为 PASS 或缓存键被过度碎片化，可能增加费用却不明显降低源站读取。参见 Fastly Shielding 文档。
Q：回源卸载和 DDoS 防护能画等号吗？ 不能。缓存层主要减轻可缓存内容的正常回源压力；如需网络层清洗与 BGP/GRE 接入，应另做防护方案评估。本稿不修改站内现有 Prolexic 教程。
参考原始资料：Akamai Cloud Wrapper 产品 · Akamai 配置与兼容性 · Akamai 第三方 CDN 限额 · Fastly Shielding · Fastly Media Shield。
交流与讨论