回源流量异常放大，先别急着加带宽
回源流量被异常放大，根子多半在缓存策略、防盗链配置或源站IP泄露这三处，正确做法是按“阻断-排查-加固”三步走，而不是盲目扩容。
什么是回源流量放大，它和普通高防攻击有什么区别
回源流量放大不是单纯的DDoS攻击，它指的是CDN节点回源请求量或回源带宽远高于正常水位，普通攻击打的是边缘节点，而回源放大打的是源站本身一旦源站被打垮，整个CDN内容都失去来源,所有边缘节点都会缓存失败。
行业共识认为,造成回源放大的常见原因有三类：
- 缓存命中率过低：CDN节点缓存不住内容,每个请求都穿透到源站。
- 源站IP泄露：攻击者绕过CDN直接打源站IP,或者伪造回源请求。
- 业务逻辑漏洞：比如URL带参数导致缓存key失效,或者Range请求被无限拆分。
回源流量异常放大的排查思路，从四个维度下手
第一步：看监控数据，区分“带宽放大”还是“请求量放大”
打开CDN控制台的回源监控，对比历史基线,重点看两个指标：
- 回源带宽：单位是Mbps或Gbps,异常时曲线会陡增。
- 回源请求数：单位是QPS,异常时每秒请求量暴增。
两种放大的处理方向完全不同，带宽放大多半是下载类资源、图片或视频被刷；请求量放大则往往是API接口、动态页面被恶意调用。
第二步：查日志，定位异常UA和Referer
下载最近一小时的回源日志，用awk或grep统计Top 10的User-Agent和Referer,常见攻击特征：
- 空UA或随机UA（比如Python脚本、curl）。
- Referer字段为空,或者伪造为搜索引擎。
- 同一个IP段频繁请求大文件,且每次Range都从0开始。
第三步：检查缓存命中率，低于90%就要警惕
登录CDN后台，查看各节点缓存命中率曲线，若命中率从95%跌到50%以下，说明大量请求穿透到了源站，打开源站服务器的Nginx访问日志，过滤回源IP（一般来自CDN节点网段），如果看到同一URL被不同节点反复请求,说明缓存key配置有问题。
第四步：确认源站IP是否泄露
用dig命令查询你的域名解析，看是否直接解析到源站IP，再搜索GitHub和网络空间测绘平台（如FOFA、Shodan），用域名主体或SSL证书指纹反向搜索，若看到源站IP暴露,基本可以判定是绕过CDN的攻击。
回源流量被刷怎么办，立即执行这三步
立即阻断：先在CDN侧拦住
- 开启CDN的QPS限频，将单IP每秒请求数限制为正常用户峰值的1.5倍。
- 配置URL鉴权，在CDN节点对请求进行时间戳校验,未带有效签名的请求直接返回403。
- 设置带宽封顶，当回源带宽超过阈值时,自动返回502并暂停缓存填充。
源站侧防护：别让Nginx裸奔
- 在源站防火墙中，只放行CDN节点回源网段,其他IP一律拒绝。
- 关闭源站服务器的公网访问,改用内网与CDN互通。
- 修改Nginx配置，对回源请求增加自定义Header校验（比如
X-Real-Origin）,匹配不上就返回444。
缓存策略调整：让回源请求“降速”
回源放大最直接的原因就是缓存不住,调整以下参数：
- 静态资源（图片、CSS、JS）的缓存时间从1小时改为7天,并开启智能压缩。
- 对于带查询参数的URL，设置忽略参数缓存,除非业务必需。
- 开启CDN的
回源跟随重定向
功能,避免30X循环导致重复回源。
源站IP泄露后的加固方案，防止下次再被打
如果确认源站IP已经泄露，除了换IP,还要做三件事：
- 套一层WAF：在源站前再接入Web应用防火墙,过滤恶意流量。
- 使用回源SNI校验：在HTTPS回源时校验SNI,只接受携带正确域名的请求。
- 定期扫描：使用在线工具检查源站IP是否再次暴露,同时排查是否有子域名解析到源站。
回源流量异常放大案例：一场真实场景的处置复盘
某电商平台在促销期间，CDN回源带宽从日常的200Mbps飙到2Gbps，源站CPU直接打满,排查步骤：
- 查看日志发现，攻击者使用大量女娲IP,请求同一个带时间戳的URL。
- 原业务代码在URL中加了一个随机参数，导致CDN缓存key每次都变化,命中率近乎为0。
- 处置：在CDN控制台开启“过滤参数”，同时将缓存key改为忽略指定参数,回源带宽在十分钟内降到300Mbps。
防止回源流量放大的日常巡检清单
- 每周检查一次缓存命中率，低于85%时分析原因。
- 每月做一次源站IP泄露检测，用
nslookup和外部测绘工具交叉验证。 - 每次业务上线前，检查URL是否包含动态参数，必要时配置“忽略参数缓存”白名单。
回源流量异常放大与DDoS攻击的区别
很多运维会把回源放大的流量误判为DDoS,其实两者有明显差异：
| 维度 | 回源流量放大 | 传统DDoS攻击 |
|---|---|---|
| 攻击对象 | 源站回源链路 | CDN边缘节点或源站IP |
| 流量特征 | 与缓存命中率强相关 | 流量突刺，无业务逻辑 |
| 持续时间 | 持续数小时到数天 | 多为短时爆发 |
| 防御重点 | 缓存策略、URL鉴权 | 流量清洗、黑洞 |
如果你发现源站带宽异常但CDN边缘流量正常，那基本就是回源放大的问题,而不是DDoS。
回源异常时源站服务器要不要关停
不建议直接关停源站，正确做法是临时切换源站地址到高防IP，或者将源站接入CDN的回源保护模式，对于非核心业务，可以直接在源站层拒绝所有非CDN网段请求,保留内网运维入口。
常见问题解答
回源流量大量增加但攻击流量不大，是什么原因
大概率是缓存策略失效或URL带唯一参数，检查缓存命中率，再看日志中是否存在高频率的相同URL变异请求，这类问题通常可通过忽略URL参数解决,同时调整回源Host配置。
如何快速判断是CDN节点故障还是源站被攻击
在源站服务器执行tcpdump -i eth0 port 80，观察回源连接的来源IP，如果来源IP集中在少数CDN节点网段，且请求间隔均匀，多为缓存刷新触发；如果来源IP散乱且包含大量境外IP，则是攻击行为，也可以临时开启CDN的“回源失败率”报表，若失败率高但源站日志中无对应请求,则是节点到源站的链路问题。
回源流量异常放大后，源站日志中没有对应请求记录怎么办
这说明异常流量根本没有到达源站，可能是CDN节点在转发前就丢弃了请求，或者流量打在了CDN的回源域名端口上，检查CDN是否配置了多回源地址，以及是否有回源协议不匹配的问题，确认源站日志记录的时区与CDN日志是否一致,避免时间差导致误判。