网站安全防护，除了CDN还能做什么？

CDN能挡什么，挡不住什么

CDN的核心作用是加速和隐藏源站IP，同时能过滤一部分常见的CC攻击和恶意爬虫。但它的防护能力有限：如果攻击者拿到了你的真实源站IP，直接打源站，CDN就形同虚设。另外，大流量的DDoS攻击，普通CDN套餐根本扛不住，流量还是会打到源站。

所以，CDN是网站安全的第一层，但不是唯一一层。真正稳妥的做法是分层防护：CDN挡应用层，高防挡网络层，源站自身做好访问控制。

把源站藏好，比什么都重要

源站IP泄露是很多网站被攻击的起点。常见泄露途径包括：邮件服务器返回头、历史DNS记录、SSL证书透明度日志、甚至图片外链。建议做几件事：

• 源站只允许CDN节点IP访问，其他IP一律拒绝
• 更换SSL证书时使用CDN提供的证书，避免暴露源站
• 关闭不必要的端口和服务，减少指纹信息
• 邮件服务与Web服务分离，不要用同一台服务器

如果源站本身需要直接对外提供服务，比如API接口或者游戏服务，那就必须上高防。美国西雅图高防服务器8提供100M带宽和高防清洗，E3-1230的配置适合中小型业务直接部署，攻击流量在清洗中心被过滤后再回源，源站压力会小很多。

访问控制和监控，日常不能偷懒

很多入侵事件不是因为攻击多高明，而是因为权限太松。后台管理页面不要暴露在公网，或者至少加上IP白名单。数据库不要用默认端口，密码要足够复杂。文件上传目录禁止执行脚本，这个简单的设置能挡掉大量WebShell。

监控方面，建议重点关注几个指标：异常登录、CPU突增、带宽跑满、大量404或502。这些往往是攻击的前兆。可以写一个简单的脚本定时检查，超过阈值就发邮件或短信告警。

对于站群或者多站点业务，IP资源本身就是一种防护。美国洛杉矶站群 VI提供多C段IP，每个站点独立IP，即使某个站点被攻击，也不会牵连其他站点。同时多IP也方便做SEO隔离，一举两得。

安全没有一劳永逸的方案，但把这几层做好，能挡掉90%以上的常见攻击。剩下的，交给专业的高防清洗和应急响应。