网站安全不靠堆插件，Cloudflare之外还能怎么防

做站的人大概都有过这种时刻：后台登录日志里突然多出一堆陌生IP在试密码，或者评论区一夜之间被灌了几百条外链。第一反应通常是去套一层Cloudflare免费版，域名一改NS，看着那朵橙色小云亮起来，心里就踏实了一半。可真正被盯上之后才发现，免费版能挡住的只是最粗暴的那类扫描，稍微像样点的CC攻击照样能把源站CPU打到100%，页面打开转圈转到用户直接关掉。

问题不在Cloudflare本身，而在于它免费档的定位就是给静态站和小流量站兜底的。要判断自己的站需不需要额外掏钱做防护，得先搞清楚攻击落在哪一层，以及你愿意为「不被打死」付多少钱。

免费防护挡得住什么，挡不住什么

Cloudflare免费版能做的事情其实不少：隐藏源站真实IP、过滤掉大部分已知的恶意UA、缓存静态资源减轻源站压力。对一个日IP几千的博客或者企业展示站来说，这些基本够用。

但它的短板也很明确。免费档的WAF规则集比较基础，遇到针对某个URL的高频请求，也就是常说的CC攻击，它只能靠限速和JS挑战去拦，效果取决于攻击流量的大小。一旦对方用几万个肉鸡IP慢速请求，每个IP看起来都像正常用户，免费版经常拦不住，请求最终还是会穿透到源站。

更麻烦的是源站暴露。如果你的服务器IP之前被解析过、进过某些扫描库，攻击者完全可以绕过Cloudflare直接打IP。这时候那朵小云就形同虚设了。换服务器、换IP是常规操作，但换完还得重新配置一遍。

什么时候该考虑给服务器加硬防

我的判断标准比较土：看攻击有没有真的影响到业务。如果只是每天后台多几条失败登录记录，那不用管，Cloudflare加上强密码和二次验证就够了。但如果出现下面这几种情况，就该认真考虑在服务器层面做防护了。

• 页面响应时间从几百毫秒涨到几秒，监控里能看到CPU被某个IP段持续占用
• 带宽跑满，正常用户的请求被挤掉，Cloudflare回源也拉不动
• 攻击流量超过免费档的清洗能力，小云开始频繁提示「正在检查浏览器」

到了这一步，光靠软件层的防护已经不够，因为攻击流量本身已经占满了你的带宽出口。需要的是机房侧的流量清洗，也就是通常说的硬防服务器——攻击流量在进入你的机器之前就被机房的清洗设备拦掉。

这里有个取舍：硬防服务器通常比同配置的普通服务器贵，而且防御等级越高越贵。60G防护和200G防护的价格能差出一截。选低了被打穿，选高了每个月多花的钱又心疼。按我的经验，先看自己业务的历史攻击峰值，没有历史数据的就选一个中间档，被打了再往上加。

拿美国西雅图机房的美国西雅图高防服务器27来说，E5-2683v4双路、64G内存、100M带宽，月付259美元。这个价位在国内机房只能买到防御等级很低的配置，放在美国机房则能拿到相对实在的清洗能力。代价是延迟比香港高，如果你的用户主要在亚太，访问体验会打个折扣。所以它更适合用户分布在全球、或者本身就是面向欧美市场的站。

源站IP藏不住，防护就是纸糊的

这一节是整个网站安全里最容易被忽略、也最要命的一环。很多人以为套了Cloudflare就万事大吉，结果攻击者根本不走域名，直接打IP。源站IP是怎么泄露的，常见的有这么几条路：

• 之前的DNS历史记录被第三方平台存档，随便一查就能翻出来
• 服务器上跑了邮件服务，发信时暴露了真实IP
• 同一IP上还挂着别的站，别人被打的时候顺带扫到了你

正确做法是让源站只接受来自Cloudflare的回源请求，其他IP一律拒绝。具体就是在服务器防火墙里只放行Cloudflare的IP段，源站用独立IP，别和别的业务混在一起。这样即使IP泄露了，攻击者直接打过来也是打在防火墙上，进不了应用层。

如果攻击规模已经到了需要机房清洗的程度，那就该考虑用带硬防的独立服务器来承载源站。美国洛杉矶物理服务器9用的是Gold-6133双路、64G内存、100M带宽，月付299美元。独立服务器的好处是资源独享，被攻击时不会牵连到邻居，清洗策略也能按自己的业务来配。缺点是价格比VPS高，而且需要自己维护系统环境。对已经有稳定流量的站来说，这笔钱花得值；对还在测试阶段的项目，先别急着上。

钱该花在哪一步

回到最实际的问题：预算有限的情况下，防护该从哪一步开始做。我的建议顺序是先把源站藏好，再考虑加硬防。源站隐藏基本不花钱，配置防火墙加上独立IP就行，但能挡掉一大半的低成本攻击。等真的被打到影响业务了，再升到带清洗能力的机房。

具体到选择：日IP一万以内的展示站或博客，Cloudflare免费版加源站隔离足够，不用额外花钱。有交易、有用户数据的站，建议至少上一台带基础防御的独立服务器，预算大致在每月250到300美元这个区间。至于每秒几十G的大流量攻击，那是另一个量级的事情，需要专门的高防方案，普通站一般碰不到，也不用提前为它买单。