分发网络缩小源站被攻击面的核心效果，就是把原本直接打在源站服务器上的恶意流量先引到边缘节点过滤，源站只接收正常回源请求，真实IP隐藏后攻击者很难直接命中。
CDN能防住DDoS攻击吗？先看源站攻击面怎么被缩小
很多人理解的攻击面，就是服务器上开放了多少端口，实际上更准确的说法是：公网上的攻击者能直接触达多少服务入口。
源站没接CDN之前，域名解析直接指向真实IP，80端口、443端口、22端口全都暴露在公网，攻击者扫一圈，就能定位服务器位置、判断服务类型,然后发起针对性攻击。
接入CDN之后，DNS解析改为CNAME指向CDN厂商提供的加速域名，用户访问先到边缘节点，边缘节点再回源拉数据，攻击者ping域名、扫描端口，看到的是CDN节点的地址,不是源站真实地址。
这就相当于给源站请了一个挡在前面的“替身”，攻击面从“整个公网可以直接扫描的源站”，缩小为“少量回源IP”和“只对回源开放的特定端口”,这种位置隔离本身就是最有效的防护手段之一。
源站IP隐藏的具体操作路径
要把隐藏源站IP这件事落地，光改DNS还不够,下面几步缺一不可。
- 在DNS服务商处把A记录改为CNAME，指向CDN厂商提供的加速域名。
- 源站防火墙仅放行CDN厂商公布的回源IP段，默认拒绝其他所有公网访问。
- 清理历史DNS解析记录，防止攻击者通过旧记录反查真实IP。
- 邮件服务、FTP、SSH等非Web端口不要和Web源站共用同一台服务器或同一个IP，避免旁路泄露。
做完这几步之后，攻击者通过域名找源站真实IP的难度会大幅提高，多数情况下，攻击流量会在CDN边缘节点被拦截,回源请求只剩下一小部分正常用户。
网站被CC攻击接入CDN有效吗？关键在于策略配置
网站被CC攻击接入CDN有效吗？这个问题经常出现在搜索框里，答案是有效,但不是接入就自动生效。
CC攻击是应用层攻击，靠大量HTTP请求耗尽源站计算资源，普通CDN有缓存能力，静态页面命中缓存后，请求不会回源，但动态接口仍然需要回源，如果攻击者直接打动态接口，边缘节点只是转发,源站还是会压力陡增。
真正起作用的，是CDN控制台里的CC防护策略，比如设置单IP请求频率阈值：当某个IP每秒请求数超过一定数值，就触发拦截或验证码，再配合JS挑战、浏览器指纹、IP黑名单,可以把大部分自动化攻击脚本挡在边缘层。
实际操作路径如下。
- 登录CDN控制台，进入“安全防护”或“CC防护”模块。
- 开启CC防护开关，设置单IP访问频率阈值，以常见配置为例，可以先观察正常用户的最大请求频率，再把阈值设为正常值的两到三倍。
- 开启JS挑战或人机校验，让脚本无法直接穿透。
- 对已知恶意IP或IP段加入黑名单，对误杀用户加入白名单。
- 观察回源请求数变化，如果回源请求数明显下降，说明策略生效。
配置完整之后，源站面对的请求量会明显下降，边缘节点承担了识别和清洗功能,源站只处理真正的用户请求。
高防CDN和普通CDN区别在哪里，别只看价格
高防CDN和普通CDN区别在哪里？这个问题很实际，表面上看都是加速,底层能力却差很多。
| 对比维度 | 普通CDN | 高防CDN |
|---|---|---|
| 防护类型 | 基础WAF、基础CC策略 | 大流量DDoS清洗、高级CC策略、源站保护 |
| 攻击流量承载 | 依赖节点本身带宽，超出后可能回源或切换 | 独立清洗中心，先清洗再转发 |
| 适用场景 | 日常加速、静态资源分发 | 易受DDoS或CC攻击的业务 |
| 成本结构 | 按流量或带宽计费，价格相对低 | 按月付并绑定防护峰值，成本更高 |
| 隐藏源站 | 有基础隐藏能力 | 通常配备独立回源隧道，更难被绕过 |
普通CDN的节点主要服务于加速，攻击流量大了以后，节点自身的带宽也会被占满，高防CDN则多了独立清洗中心，攻击流量先进入清洗中心，过滤掉恶意流量后,正常流量再转发到源站。
什么场景必须上高防CDN
- 业务曾经因为大流量攻击被打到黑洞，源站直接不可用。
- 所在行业容易受到竞争对手恶意攻击，例如游戏、电商大促、竞品对比明显的业务。
- 源站带宽本身有限，无法承受突发大流量。
- 频繁遇到扫爆、撞库、自动注册等应用层攻击，需要更细粒度的请求过滤。
加速，普通CDN够用，如果涉及高价值业务，攻击成本又低,高防CDN是更稳妥的选择。
CDN防护价格一般多少？北京CDN节点选择也会影响成本
CDN防护价格一般多少？这没有一个固定数字，因为价格由几个变量共同决定：加速流量、请求数、防护峰值、节点区域和计费方式。
基础CDN多数按流量计费，每GB费用在几元上下，也有按带宽峰值计费的方式，高防CDN通常按月付，绑定一个防护带宽峰值，费用从数百元到数千元不等,关键看需要扛多大攻击。
地域节点也会影响成本，比如业务用户集中在华北，选择北京CDN节点能降低回源延迟，但北京节点的带宽成本可能略高于一些中西部节点,这就需要在延迟和成本之间做权衡。
一个实际的做法是：先开通按流量计费的基础套餐，观察一周回源流量和命中率，如果回源流量占比很高，说明缓存命中差，需要优化，如果攻击频繁，再升级高防套餐,不必一开始就买最贵的。
如何根据攻击面风险选套餐
- 纯静态站、日常流量不大，普通CDN加基础WAF就能满足。
- 动态接口多、源站资源紧张，选带CC防护增强的CDN套餐。
- 曾被打到黑洞或频繁遭受大流量攻击，直接选高防CDN，不要用普通CDN硬扛。
- 用户集中在单一地域，优先开通该地域节点，减少跨省回源，也能降低部分回源带宽成本。
北京CDN节点选择不是越近越好，还要看业务分布，如果用户主要来自华北，北京节点很合适；如果全国分布，就开启多地节点,让边缘节点就近响应。
缩小攻击面不等于安全闭环，源站仍需做三件事
CDN只是第一道防线，源站不能继续“裸跑”，如果源站IP已经泄露，接入CDN后攻击者仍然可能绕过CDN直接打真实IP,所以源站侧必须完成以下配置。
第一，更换已泄露的源站IP，换了IP之后，马上把防火墙白名单切到新IP上。
第二，源站防火墙只允许CDN回源IP段访问Web端口，其他公网IP一律拒绝。
第三，在源站Web服务器上校验回源请求头,只接受带特定Token或来源标记的请求。
以Linux服务器为例,可以用ipset加iptables完成回源白名单。
ipset create cdn_ip_set hash:net ipset add cdn_ip_set 192.0.2.0/24 iptables -I INPUT -p tcp --dport 443 -m set --match-set cdn_ip_set src -j ACCEPT iptables -A INPUT -p tcp --dport 443 -j DROP
Windows服务器则在防火墙入站规则中配置“远程IP地址”为CDN厂商公布的回源IP段，这样即使攻击者拿到真实IP,非回源IP的访问也会被直接丢弃。
源站侧配置清单
- 更换已泄露的源站IP，避免旧IP被直接攻击。
- 创建ipset或安全组规则，只放行回源IP段。
- 在Nginx配置中校验回源请求头，例如自定义
X-Real-CDN: true，不符合的直接返回403。 - 设置源站连接超时和失败阈值，防止慢连接占满连接池。
- 监控源站连接数，发现异常升高时先检查回源白名单是否失效。
这些操作做完，源站攻击面才会真正收缩到最小，只开CDN不做白名单，等于门口换了保安，但后门还开着。
分发网络缩小源站被攻击面的效果常见问题
CDN能彻底隐藏源站IP吗？
不能，CDN只隐藏域名解析层面的真实IP，如果源站IP曾通过邮箱、FTP、子域名解析、SSL证书透明日志等途径泄露，攻击者仍可能直接命中，需要结合更换IP、关闭非Web端口、设置防火墙白名单,才能最大限度隐藏。
接入CDN后遇到攻击，源站还会被打挂吗？
如果攻击流量超过CDN节点清洗能力，或者攻击者已拿到源站真实IP并直接绕过CDN，源站仍可能被打挂，因此高防CDN的清洗能力和源站IP保密同样重要。
分发网络缩小源站被攻击面的效果好吗？
对多数Web业务来说，效果显著，攻击面从整个公网可探测的源站收缩为少数回源IP和端口，减少了攻击者直接命中的概率，但效果取决于配置完整度，只开CDN不做防火墙白名单,等于留了后门。