点播链路的最优排布是把高防线路放在最前面挡攻击流量，转码集群放在安全区内部专职处理视频转码，两者通过内网回源通道串联，存储独立旁路部署，CDN负责边缘分发，这样才能既防住DDoS又不拖慢转码效率。
视频点播业务最怕什么？不是带宽不够，不是存储满了，而是正在转码的机器被攻击流量打瘫，高防线路和转码集群的配合方式，本质上决定了一件事：攻击来了是先打爆转码服务器，还是被高防拦在门外,下面把链路拆开讲清楚。
高防线路为什么必须放在最前面
点播业务和直播不一样，点播的流量集中在下载和播放阶段，攻击者只要摸到你的源站IP，就能用大流量把转码集群的带宽占满，导致正常用户拉流超时，高防线路的作用就是把源站IP藏起来，让所有外部流量先经过高防清洗。
高防线路的清洗逻辑
高防机房通常部署在骨干网节点上，带宽冗余能做到数百G甚至上T级别，攻击流量进来后，高防设备通过指纹识别、行为分析、黑白名单策略，把恶意流量过滤掉，只放行正常请求回源，业内专家指出，高防IP的防护能力取决于机房总带宽和清洗算法，而不是单台服务器的配置。
流量清洗后再进内网
外部用户请求的路径是：用户 → 高防IP → 清洗 → 回源到转码集群或源站,这里的关键点在于：
- 回源地址必须是内网地址或高防白名单内的IP，不能暴露公网IP
- 转码集群所在机房需要和高防机房打通内网专线，或者至少是同区域云内网
- 高防的回源比例要控制在合理范围，避免清洗后的大量请求瞬间压垮转码服务器
如果高防放在转码集群后面，那等于没防，攻击流量会先穿过转码机器再被清洗，转码CPU早被占满了,视频切片和转码任务全部卡死。
转码集群的部署位置与协作方式
转码集群的核心任务是把原始视频转成多码率、多格式的分片文件，供CDN拉取分发，它的部署位置应该和高防线路在同一安全域内,但职责完全分离。
存储层必须旁路
很多团队犯的错误是把原始视频存在转码服务器本地磁盘，然后转码任务直接读本地文件，这样一来，攻击者一旦打穿高防，转码机器上的源视频也会被拖走,正确的做法是：
- 原始视频放在独立的对象存储或NAS集群中，通过内网挂载给转码节点
- 转码节点只负责计算，不持久化保存源文件
- 转码完成后的输出文件推送到CDN源站桶，同时回写一份到备份存储
这套架构下，即使转码节点被攻破，源视频数据依然隔离在存储层,损失可控。
转码拉流走内网通道
转码集群从存储层拉取视频文件时，应该走内网专线或云厂商的私网连接，不要绕公网,原因很简单：
- 公网拉流会占用高防带宽，高防的计费通常按峰值带宽算，浪费在回源上不划算
- 公网链路存在丢包和延迟波动，转码任务对源文件读取的稳定性要求高，中断会导致任务失败重跑
- 走内网能保证转码和高防之间的链路时延在1ms以内，避免转码等待
视频点播转码服务器怎么选
这个问题没有标准答案，但可以按场景匹配，如果只是做短视频点播，单台带GPU加速的转码服务器就能扛住每天几百个视频的转码量，如果是长视频平台，需要的是分布式转码集群，用多台服务器组成任务队列,配合消息中间件分发转码任务。
行业共识认为，选型时重点看三样东西：CPU核心数、内存大小、磁盘IOPS，转码是计算密集型和IO密集型混合负载，CPU核心数决定并行转码路数，内存决定单路转码的缓冲能力，磁盘IOPS决定读写源文件和输出切片的效率，GPU加速对H.265编码有明显提升，但价格也高不少，预算有限的场景可以先用CPU转码跑着,后续再按需升级。
CDN接入后的完整链路排布
当点播业务流量起来后，高防+转码集群只是源站部分，最终用户访问的是CDN节点上的缓存内容,完整的链路应该是：
用户 → 本地DNS解析 → CDN边缘节点 → 命中缓存直接播放 → 未命中则回源到高防IP → 高防清洗 → 回源到转码集群或存储 → 返回切片文件
高防IP和CDN区别
这是很多运维初次接触时容易混淆的点,高防IP和CDN的核心区别在于：
| 维度 | 高防IP | CDN |
|---|---|---|
| 核心功能 | 防御DDoS攻击 | 内容分发加速 |
| 工作层 | 网络层/传输层 | 应用层 |
| 回源方式 | 直接转发到源站 | 边缘节点缓存后回源 |
| 适用场景 | 源站防护 | 大流量分发 |
| 成本模式 | 按防护峰值带宽计费 | 按流量或请求数计费 |
实际排布中，两者通常是串联使用的，CDN边缘节点负责承接用户请求，CDN回源时指向高防IP，高防清洗后再转发到转码集群或存储，这样做的好处是CDN节点缓存了大部分热播内容，回源请求占比通常只有10%-20%，高防的带宽压力小很多,防护成本也降下来了。
回源策略的细节
CDN回源到高防IP时，需要配置好Host头、回源协议和回源超时时间,点播场景建议：
- 回源协议用HTTP，减少TLS握手开销，因为内部链路已经通过高防清洗，安全性有保障
- 回源超时时间设到10-15秒，视频切片文件大，读取时间长，超时太短会导致回源失败率高
- 开启CDN的分片回源功能，让边缘节点按Range请求拉取视频分片，避免整个大文件一次性回源
不同地域和线路的排布考量
点播业务的地域分布直接影响高防线路的选择，国内高防线路哪个好？这得看用户群体在哪个区域。
华东华北的业务差异
如果主要用户集中在华东，高防机房选在浙江或江苏的骨干节点，转码集群放在同地域的云机房内，通过云内网打通，延迟最低，华北用户多的话，选北京或天津的高防节点。跨地域回源会增加20-50ms的延迟，对视频播放的首次加载有感知影响,所以尽量同地域部署。
单线高防与BGP高防的选择
单线高防线路便宜，但只有一条运营商链路，跨网访问时延迟高，BGP高防线路能自动优选路径，三网（电信、联通、移动）用户访问都流畅，但价格贵不少，点播业务建议直接上BGP高防，因为视频播放对延迟和抖动敏感,省下来的带宽成本可能不够弥补用户体验损失。
高防服务器多少钱一年
价格区间波动较大，主要看防护峰值和带宽大小。50G防护峰值、50M独享带宽的高防服务器，市场价在每年1万到3万之间，100G以上防护峰值的价格会翻倍，而且通常要求签年付合同，如果只是中小型点播站，可以先用高防IP产品，按防护峰值购买服务,比租整台高防服务器灵活得多。
实操排布步骤
按照以下步骤配置,基本能避免常见的坑：
- 申请高防IP，选择BGP线路，防护峰值根据业务评估，初期建议不低于50G
- 配置高防转发规则，把TCP 80/443端口转发到转码集群的内网IP
- 转码集群挂载存储，通过NFS或云硬盘挂载源视频目录，确认读写权限
- 搭建转码任务队列，用Redis或RabbitMQ接收转码请求，多节点消费
- 输出切片推送到CDN源站桶，设置好存储桶的访问权限，只允许CDN回源读取
- CDN域名配置，源站填高防IP，回源Host填实际业务域名
- 测试验证，用curl带上Range头请求视频分片，检查是否正常返回206状态码；再用大流量压测工具模拟攻击，观察高防是否触发清洗，转码任务是否中断
高防线路与转码集群配合时点播链路怎么排布最稳
稳定性的关键在于冗余和降级，高防线路可以配置主备两条，主线路被攻击封堵时自动切换到备用线路，转码集群需要预留20%-30%的冗余算力，当某个节点被攻击影响时，其他节点能接管任务，存储层做跨可用区备份,避免单点故障导致源视频丢失。
常见问题解答
高防线路回源到转码集群时，为什么转码速度会变慢？
如果转码集群通过高防IP回源拉取源视频，相当于绕了一圈公网链路，延迟和丢包都会增加，正确做法是转码集群直接从内网挂载存储读取文件，高防IP只负责对外承接CDN回源和用户直连请求,检查一下转码任务的输入路径是否走的内网地址。
高防IP被攻击封堵后，点播业务怎么快速恢复？
高防IP被攻击到峰值上限会触发封堵，这时需要切换到备用高防线路或启用CDN的独立回源通道，提前在CDN配置好备源站地址，封堵时把源站切换为存储桶的公网访问地址，虽然防护等级降低，但业务不会中断,等主高防线路解封后再切换回来。
转码集群和高防线路之间需要防火墙吗？
需要，但注意防火墙策略不能影响内网回源，建议在高防回源IP段和转码集群之间设置白名单，只允许高防清洗后的流量进入，同时开启流量镜像，把转码集群的入向流量复制一份到安全审计系统，便于事后分析攻击特征，防火墙规则的优先级要高于高防的转发规则,避免冲突。
点播链路的排布本质上是把“防”和“算”分开：高防线路专职防攻击，转码集群专职做计算，存储旁路保数据安全，CDN靠近用户做分发，把这四层关系理清楚，不管业务量级怎么涨,架构都不会被攻击打穿。