网站防护从哪一层做起？Cloudflare 之外的自建服务器安全实践

很多站长第一次配网站安全，路径都差不多：域名解析到 Cloudflare，开个免费套餐，橙色云朵一开就觉得万事大吉。等到某天后台访问变慢、首页加载超时，才发现源站 IP 早就被人扒出来，攻击流量绕开 CDN 直接砸在服务器上。这种时候再回头补防护，往往已经丢了几天的收录和订单。

我想说清楚一件事：Cloudflare 解决的是边缘层的问题，它挡得住一部分扫描和爬虫，但它不是源站的替身。真正决定你被打之后能不能活下来的，是源站那一层还有没有抵抗力。

Cloudflare 挡得住谁，挡不住谁

免费版 Cloudflare 的核心价值在 DNS 解析、静态资源缓存和基础 WAF 规则。它对普通 bot 扫描、SQL 注入尝试这类低强度攻击有效果，日常能省掉不少噪音流量。

问题是它的清洗能力有上限，而且防护发生在边缘节点。一旦攻击者拿到你的真实 IP，直接向源站发 CC 或 SYN Flood，Cloudflare 根本看不到这些包。源站 IP 泄露的途径比想象中多：历史 DNS 记录、邮件头、第三方子域名、甚至某些探针接口。

所以我的判断是：Cloudflare 是外衣，源站防护是底裤。只穿外衣不穿底裤，风一吹就露馅。

源站这一层，钱该花在哪

源站选型上，我一般先看两点：带宽是不是独享，防御是不是硬防。共享带宽在被打的时候会被邻居拖累，独享 100M 至少保证攻击期间正常用户还有通道。

硬防和软件层的 WAF 是两回事。硬防在机房入口就把流量洗掉，不消耗你服务器的 CPU 和内存。软件 WAF 装在机器上，攻击量一大，机器自己先被自己的规则拖死。

配置上，双路 E5-2683v4 加 64G 内存这个档位，跑一个中等规模的 WordPress 或电商站绰绰有余，配合 60G 级别的硬防，能扛住大多数针对中小站点的 DDoS。像 美国硅谷高防服务器 XXV，E5-2683v4*2 / 64G / 100M，月付 $219，这个价位对独立站来说是可以接受的固定成本。

如果站点本身流量更大，或者同时跑多个业务，那就得往上走，128G 内存加 10G 口是另一个量级，成本也翻好几倍。这一步别急着上，先算清楚自己被打的频率和峰值。

几个容易被忽略的实操细节

防护配置完之后，日常还有几件事得盯着，不然再好的硬件也白搭。

• 源站只放行 Cloudflare 的 IP 段，其他来源直接 drop，这样即使 IP 泄露也能多一层过滤
• 后台登录路径改掉默认的 /wp-admin，加上登录失败次数限制，弱密码爆破是最常见的入口
• 定期检查 DNS 历史记录和子域名解析，很多泄露是自己早年留下的记录造成的
• 数据库和网站程序分开部署，一台机器中招不至于全站沦陷

这些操作不花钱，但需要有人定期做。我见过不少站点硬件配得不错，结果因为一个没改的默认后台路径被人拖库。

怎么判断自己该配到哪一档

日 PV 一万以下、没有明显竞争对手针对的站点，Cloudflare 免费版加一台基础独服就够，源站做好 IP 隐藏和后台加固即可。

有过被攻击记录、或者处在竞争激烈的行业，源站必须上硬防。60G 到 100G 这个区间覆盖了大部分中小站点的实际遭遇，再高的防御等级意味着更高的月付，没必要为理论峰值买单。

游戏、金融、博彩这类高频被针对的业务，防御等级和带宽都要往上加，同时准备好备用源站做切换。这部分预算没法省，省下来的钱最后都会以停机时间的形式还回去。

最后一句实在话：安全的钱花在源站上，比花在各种花哨的边缘服务上更值。CDN 可以换，源站被打穿，用户是直接流失的。