Cloudflare 之外，网站安全还能靠什么？

很多站长一提网站安全，第一反应就是挂个 Cloudflare。免费版一开，DNS 一改，感觉万事大吉。但真被打过的人知道，Cloudflare 能挡住的只是第一层，源站 IP 一旦暴露，后面的故事就不好讲了。

Cloudflare 到底能挡什么，不能挡什么

Cloudflare 的强项是 DNS 解析、边缘缓存、基础 WAF 和一定的 L3/L4 清洗。免费版对常见 CC 攻击、SQL 注入、XSS 有基本拦截，小流量骚扰基本无感。

问题出在两个地方。第一，源站 IP 泄漏后，攻击者直接绕开 CDN 打你的服务器，Cloudflare 完全帮不上忙。第二，大流量 DDoS 下，免费版会触发「Under Attack」模式，正常用户被挡在外面，业务等于半瘫。

所以 Cloudflare 是「门锁」，但门后面的墙也得自己砌。

源站隐藏，比清洗更重要的第一步

很多人被打之后才发现，自己的源站 IP 早就躺在各种历史 DNS 记录、邮件头、SSL 证书日志里了。想藏住源站，得做几件事：

• 换 IP：被打过的 IP 基本等于废了，直接换新。
• 只允许 CDN 回源：源站防火墙只放行 CDN 的回源段，其他一律 drop。
• 关闭不必要的端口：22、3306 这些别对公网敞开，改端口或用密钥登录。
• 邮件走独立通道：别让服务器自己发信，邮件头会带出真实 IP。

做完这些，攻击者拿不到源站，Cloudflare 的防护才算真正生效。

清洗线路和高防服务器怎么配合

如果业务本身容易被盯上——比如游戏、支付、博彩、外贸独立站——光靠 CDN 不够，源站本身要有抗打能力。这时候高防服务器就是底牌。

以美国机房为例，美国洛杉矶高防服务器27 提供 100M 带宽和硬件级 DDoS 清洗，E5 2683V4*2 / 64G 的配置跑中型站点绰绰有余。它的逻辑是：攻击流量在机房入口就被识别和清洗，只有干净流量进到你的服务器。

更狠一点的是 美国西雅图高防服务器38，同样带清洗能力，适合对延迟要求没那么极致、但需要稳定防御的场景。

组合思路很清晰：Cloudflare 挡 CC 和常见 Web 攻击，高防服务器扛大流量 DDoS，源站隐藏做兜底。三层叠起来，才算完整。

几个容易踩的坑

第一，别把 Cloudflare 的「代理」当成万能。它默认只代理 HTTP/HTTPS，游戏、TCP 业务要走 Spectrum，那是付费功能。

第二，高防不是防御等级越高越好。60G 的站点硬上 500G，钱花了，延迟还可能因为清洗节点绕路变差。按业务实际风险选。

第三，安全是持续动作。IP 换了、规则配了，不代表一劳永逸。定期查 DNS 历史、看访问日志、更新 WAF 规则，这些活省不了。