高防和CDN的分工很简单：CDN负责把内容搬到离用户最近的地方，高防负责在源站前面挡住攻击流量。要是服务器本身被大流量打穿，CDN的缓存节点再快也无济于事；反之，高防扛住了攻击但回源链路拥堵，用户体验照样崩塌，高防部署在靠近源站的网络层，CDN部署在靠近用户的接入层，两者一前一后,各管一段。
高防和CDN分别保护哪一层
要搞清楚部署位置，先得明白服务器对外提供服务的完整链路，用户的请求从浏览器出发，经过DNS解析、运营商骨干网、目标机房，最终落到源站上，这一路上，攻击和优化发生在不同层级,防护工具也就有了分工。
高防守在网络层和传输层
高防主要处理大流量型攻击，比如SYN Flood、UDP Flood、ICMP Flood这类四层攻击，攻击目标直接瞄准服务器的IP地址和带宽资源，高防机房通过流量清洗设备，把恶意流量在进入源站之前就过滤掉，所以高防一般部署在源站机房的前方，即网络入口处,也称为近源端防护。
高防的核心价值在于带宽池，单台服务器的带宽上限撑死几百兆，而高防集群可以调拨几百G甚至上T的冗余带宽，攻击流量先被打到高防IP上，清洗后只剩干净流量回源，业内专家指出，高防一旦切换生效，源站IP必须严格隐藏，否则攻击者绕过高防直接打源站IP,防护就形同虚设。
CDN守在网络边缘和应用层
CDN部署在地理位置上离用户最近的边缘节点，它缓存了网站的静态资源，比如图片、CSS文件、JS脚本，用户访问时直接从边缘节点获取，不用绕到源站，响应速度自然快，CDN也具备一定的应用层防护能力，比如拦截频繁请求、过滤恶意UA、封禁可疑IP等,主要应对CC攻击这类消耗应用资源的攻击方式。
CDN的关键在于缓存命中率，命中率越高，回源请求越少，源站压力越小，但要注意，CDN的防护能力是分布式的，每个节点分到的流量清洗能力有限，遇到几十G的集中攻击也会吃力，因此把CDN当作唯一防线,风险不小。
高防和CDN如何配合部署
实际生产环境中，成熟的防护架构是CDN在前、高防在后，链路顺序大致为：用户请求 → 智能DNS调度 → CDN边缘节点 → 高防集群清洗 → 源站服务器。
按攻击类型决定防护优先级
攻击者想搞垮一个网站，套路无非两种：一是打爆带宽，二是耗尽资源，前者需要高防，后者适合CDN加WAF，如果源站部署了高防但没上CDN，静态资源全部走源站，一旦遭遇CC攻击，高防虽然能保证网络连通，但源站的PHP进程、数据库连接会被拖垮，反之，只用了CDN没上高防，遇到大流量DDoS攻击，CDN节点虽然能挡一部分，但攻击量超过CDN防护上限时，攻击流量会直接穿透回源,源站瞬间挂掉。
所以稳妥的做法是高防在前，CDN在后，或者CDN在前，高防在后？这里要注意，推荐的是后者，即CDN离用户更近，高防离源站更近，CDN先接受用户请求，缓存命中的直接返回，未命中的请求再回源，回源时通过高防IP，高防清洗后再转发给源站，这样源站的真实IP始终不暴露,同时CDN分摊了大部分访问压力。
高防CDN的部署顺序为什么不能反
如果把高防放在最前面，所有流量必须先经过高防再到CDN，这里有个问题：高防只清洗不缓存，所有CDN节点都要把回源请求打向同一个高防IP，高防的转发压力极大，而且CDN的缓存优势被削弱了，更麻烦的是，业务流量先经过高防再转发到CDN，链路变长，延迟反而增加,CDN的加速效果大打折扣。
反观CDN在前、高防在后的模式，用户就近访问CDN节点，CDN之间互相调度，回源流量汇总后统一走高防，清洗逻辑简单清晰，高防只需要面对CDN节点的回源IP,防护策略可以做得更精准。
高防和CDN的配置顺序操作步骤
以常见的简米云架构为例,具体操作路径如下：
- 先在DNS控制台将域名解析指向CDN分配的CNAME地址
- 然后在CDN控制台配置源站信息，源站域名或IP填写高防IP地址
- 最后在高防控制台将源站IP设置为真实服务器IP，并开启四层转发规则
这样配置后，用户流量先到CDN，CDN回源时经过高防，高防把干净流量转发给源站，源站上可以再部署一道防火墙，只允许高防IP访问服务器端口,其余IP全部拒绝。
高防和CDN的区别如何选型
很多用户在选择防护方案时，名下服务器不止一台，业务形态也各不相同，有的是电商网站，注重页面加载速度；有的是游戏服务器，对延迟极其敏感；有的企业API接口，请求量大且规律性明显，场景不同,高防和CDN的侧重也就不同。
高防CDN多少钱一年
价格是决策的重要参考，高防的计费模式一般是保底带宽加弹性带宽，保底防护带宽如50G、100G、300G，对应不同月付价格，弹性部分按实际攻击峰值计费，CDN则按流量或请求次数计费，静态加速单价偏低，动态加速或全站加速价格会高一些，据行业共识，同等防护规模下，高防的年预算普遍高于CDN,因为高防需要大量带宽资源做冗余。
如果预算有限，可以考虑区域高防，比如只买华东或华南机房的高防能力，价格比全网高防低不少，访问速度也更有保障，另一个思路是使用CDN的高防联动节点，部分CDN服务商在边缘节点上部署了清洗能力，可以拦截一部分攻击流量,但这类方案对超大流量攻击的效果仍需观察。
高防CDN哪个便宜
单纯比较价格没有意义，要看防护效果和性价比，CDN便宜是因为它的主要职责是分发内容，带宽成本由大量用户流量摊薄，高防贵是因为它的带宽池需要保持空闲待命，防御流量不产生经济效益，成本自然高，如果网站攻击概率低、静态内容占比高，优先选CDN；如果攻击频率高、业务对连续可用性要求苛刻,多花预算上高防更明智。
高防和CDN有什么区别的选型清单
按照以下思路做决策，基本不会出错：
为主、源站带宽成本高的网站，先上CDN，加速兼防小流量攻击
- 以动态交互为主、攻击频繁的业务系统，先上高防，再考虑是否需要CDN做内容分发
- 同时面临DDoS和CC攻击，CDN加高防缺一不可，且顺序不能颠倒
- 对延迟极度敏感的游戏或金融业务，高防必须就近部署，CDN的动态加速意义不大
高防CDN哪个便宜的低成本组合方案
预算有限的个人站长或小微企业，可以先用高防IP搭配基础版CDN，把CDN的流量限制设置在合理范围，避免高额流量费用，再通过缓存过期时间的策略，提高CDN命中率，降低回源流量，攻击发生时，临时调高防御阈值，攻击结束后再调低,以此控制成本。
高防CDN的部署位置误区
实际运维中，不少人把高防和CDN的部署位置搞混,导致防护失效。
常见错误一：源站直接绑定CDN节点IP
CDN节点IP是动态变化的，如果源站防火墙只允许CDN节点IP访问，一旦CDN节点切换，回源请求被拦，网站直接502，正确做法是源站放行高防IP,高防再与CDN建立信任回源关系。
常见错误二：只防护不清理，攻击峰值过后源站卡死
攻击流量被高防清洗之后，大量的半连接状态和日志记录留在服务器上，如果不在高防侧配置连接耗尽保护，攻击结束后服务器内存可能被残留连接占满，需要重启服务才能恢复，建议在高防控制台开启TCP连接耗尽保护和源站限速,控制回源流量并发数。
常见错误三：忽略HTTPS证书部署位置
使用高防加CDN架构时，SSL证书需要部署在CDN节点上，实现用户到CDN的加密传输，CDN再与高防之间另走一条内部加密通道，高防到源站再结束一层加密，如果只在源站部署证书，CDN回源时频繁握手,延迟明显增加。
Q&A：高防和CDN的部署位置常见问题
高防和CDN分别部署在哪一层更合适
高防部署在网络层和传输层，主要负责清洗SYN Flood、UDP Flood等大流量攻击，位置在源站机房入口处，CDN部署在应用层边缘节点，主要负责内容分发和缓解CC攻击，位置在用户与源站之间，两者配合使用时，用户流量先到CDN边缘节点，未命中的请求回源时再经过高防清洗,最终到达源站服务器。
服务器被攻击怎么办
立即在高防控制台将防护模式切换为“清洗”或“丢弃”，确认源站IP是否隐藏，检查防火墙规则是否只放行高防IP和CDN回源IP，若攻击流量已超过当前保底防御值，升级弹性防护带宽，同时联系服务商协助调参，攻击停止后，不要立刻关闭高防，先观察一至两周确认攻击者是否放弃该目标,再逐步恢复原线路。
高防和CDN必须一起用吗
不是必须，但推荐配合使用，小规模业务和静态网站仅使用CDN即可满足加速需求，CDN自带的防护能力足够应付低频小流量攻击，核心业务系统和频繁遭受攻击的网站必须高防为主、CDN为辅，因为单靠CDN扛不住大流量DDoS，单靠高防解决不了内容分发效率问题，多数情况下，只有两者协同才能同时保证可用性与访问速度，这也是当前各大云厂商主推的“全站防护”标准架构。