网站安全别只靠Cloudflare：从源站隐藏到高防服务器的实战取舍

很多人给网站套上Cloudflare之后就觉得安全了，直到某天源站IP被扫出来，攻击直接绕过CDN打到机房，服务器带宽瞬间跑满。这种情况我见过不少，特别是做外贸站和游戏站的，攻击者根本不在乎你前面有没有Cloudflare，只要找到真实IP，问题就变成机房能不能扛住。

网站安全这件事，Cloudflare能解决一部分，但它解决不了源站暴露之后的硬扛问题。这篇把源站隐藏、WAF规则、高防服务器这三层拆开讲，按预算给出可执行的取舍。

Cloudflare免费版到底能挡什么

先明确一点：Cloudflare免费版提供的是DNS解析隐藏加基础WAF加DDoS缓解，对普通扫描和中小流量CC攻击有效。但它不隐藏源站IP，除非你正确配置了回源规则。

常见错误是直接在DNS里把A记录指向源站IP然后开橙云，这样Cloudflare回源时用的还是你的真实IP，攻击者通过历史DNS记录或者某些扫描手法就能拿到。正确做法是源站只允许Cloudflare回源IP段访问，同时在源站防火墙里拒绝其他所有IP的80和443端口。

• 源站只放行Cloudflare官方回源IP段，其他IP一律drop
• DNS历史记录要清理，换过IP的站尤其注意
• 邮件服务单独走，不要和网站共用IP

做完这几步，普通扫描基本扫不到源站。但注意，这挡不住有针对性的大流量攻击，只是把门槛抬高了。

源站隐藏之后，剩下的攻击怎么处理

源站隐藏解决的是「被找到」的问题，但有些攻击不需要找到源站，直接打Cloudflare的IP也能消耗你的资源。免费版对CC攻击的缓解有限，特别是针对特定URL的高频请求，Cloudflare会弹验证码，但验证码本身也消耗源站资源。

这时候需要在源站层面加一层防护。Nginx层面可以做限速和连接数限制，比如单个IP每秒请求数限制、并发连接数限制。这些配置不复杂，但能过滤掉大部分低级CC。

更实际的做法是把静态资源全部交给Cloudflare缓存，源站只处理动态请求。动态请求少了，攻击面自然小。我一般会建议把图片、CSS、JS这些全部走CDN缓存，源站只留API和数据库交互。

如果攻击量继续往上走，Cloudflare免费版扛不住的时候，要么升级到Pro或Business，要么直接上独立高防。升级Cloudflare的费用大概每月20到200美元，独立高防服务器看防御等级，100G防护的香港高防通常在千元级别。

什么时候必须上独立高防服务器

判断标准很简单：当攻击流量超过Cloudflare免费版的缓解能力，或者攻击直接针对源站IP且流量超过机房默认防护时，就需要独立高防。

普通机房默认提供5G到10G的DDoS缓解，超过这个量级直接封IP。如果你的业务经常被攻击，或者攻击流量经常超过10G，那必须选带高防的机房。

香港高防服务器常见的防御等级有60G、100G、200G，再往上还有500G。价格和防御等级直接挂钩，60G防护的香港高防月付大概在几百到一千元，100G往上基本过千。美国高防服务器相对便宜一些，但延迟比香港高。

选高防的时候要注意清洗方式。有些机房是流量牵引到清洗中心再回源，这种方式会增加延迟，但对源站透明。另一些是本地清洗，延迟低但防御容量有限。做游戏或者实时交互的业务，优先选本地清洗加牵引备份的方案。

如果业务主要面向国内用户，香港高防的延迟优势明显，CN2线路回大陆通常在30ms以内。面向欧美用户的话，美国高防服务器更合适，洛杉矶或者硅谷机房到美西的延迟低，带宽成本也比香港低不少。

秀米云的美国洛杉矶大带宽服务器 I配的是E3-1230和16G内存，G口带宽月付133.50美元，适合需要大带宽但预算有限的站，配合Cloudflare做前端防护，源站只处理动态请求，这套组合能扛住大部分中小规模攻击。如果攻击量级更大，可以看美国洛杉矶大带宽服务器 XVIII，双E5-2683v4加64G内存，同样是G口，月付568.50美元，配置更高，能承载的并发和清洗后的回源流量都更大。

按预算分三档的落地方案

预算有限的情况，先把Cloudflare免费版配好，源站只放行Cloudflare回源IP，Nginx加限速规则，静态资源全缓存。这套下来除了服务器费用没有额外支出，能挡住大部分低级攻击。

中等预算，Cloudflare Pro加源站防火墙加独立IP。Pro版有更细的WAF规则和更高的CC缓解能力，月付20美元。源站层面继续做限速和缓存优化。

预算充足且攻击频繁，直接上香港或者美国高防服务器，防御等级选100G以上，配合Cloudflare做前端。这套方案的成本主要在服务器月付，但能保证攻击来的时候业务不中断。

最后给个直接结论：个人站和小型外贸站，Cloudflare免费版加源站隐藏加Nginx限速就够了，月成本控制在服务器费用以内。中型业务被攻击过或者攻击量超过10G，上60G到100G的香港高防，月付千元级别。大型业务或者攻击量经常超过100G，选200G以上防御加CN2线路，别省这个钱，被打停一次的损失远超服务器月付。