网站安全防护怎么落地？从 CDN 回源到源站隐藏的几条实操路线

不少站长第一次认真看网站安全，都是被打过一次之后。流量突然掉零，后台登不上，监控里一片红，这时候才想起来去查访问日志。翻开来一看，几万个 IP 在扫同一个路径，或者某个接口被反复请求，一秒几百次。问题不在于攻击有多高明，而在于源站从一开始就是裸露的。

这篇想解决的就是这件事：怎么把网站从「谁都能直连」变成「只有该进来的人能进来」，以及当攻击量超过单机承受能力时，钱该花在哪一层。

先把源站藏起来，比装什么防护软件都管用

CDN 的价值不只是加速。请求先到边缘节点，节点再回源取内容，源站 IP 不对外暴露，攻击者找不到目标，这一层就已经过滤掉绝大多数自动化扫描。

但回源这一步最容易出问题。域名解析如果还留着一条 A 记录直接指向源站，等于白做。我一般会先把 DNS 里所有指向真实 IP 的记录清干净，只保留 CDN 给的 CNAME。历史解析记录也可能被第三方平台缓存，换过 IP 的站尤其要注意。

源站防火墙这边，只放行 CDN 回源段的 IP，其余全部拒绝。这一步做完，哪怕别人扫到了你的真实 IP，80 和 443 端口也进不来。代价是维护白名单要花点心思，CDN 厂商的回源段会更新，得定期核对。

还有一个常被忽略的点：邮件服务、FTP、SSH 如果和网站跑在同一台机器上，这些服务的 IP 同样会泄露源站位置。能拆开就拆开，拆不开至少改掉默认端口并限制来源。

WAF 规则别照搬，先搞清楚自己怕什么

Cloudflare 免费版自带的基础规则能拦住 SQL 注入和常见 XSS，对中小站够用。但它的默认防护等级偏宽松，CC 攻击打过来的时候，免费版的速率限制不一定扛得住。

我的做法是先看日志再调规则。哪些路径被高频请求、UA 有没有明显特征、请求间隔是不是机械化的固定值，这些信息比凭感觉开一堆规则有用得多。

• 静态资源走缓存，不回源，减轻源站压力
• 登录、搜索、评论这类动态接口单独设速率限制
• 对明显异常的 UA 和空 Referer 的 POST 请求直接拦截

规则开太猛会误伤正常用户，尤其是做海外流量的站，不同地区访问特征差别很大。我一般会先在观察模式下跑两三天，确认拦截名单里没有真实用户再加到拦截模式。

免费版和付费版的核心差别在自定义规则数量和日志保留时长。如果你的站每天有真实业务流量，日志只存几小时基本没法排查问题，这笔钱省下来反而更贵。

攻击量超过单机上限时，该换的是源站类型

CDN 能挡住应用层攻击，但流量型攻击最终还是要看源站出口带宽和清洗能力。普通 VPS 的带宽通常是 100M 共享，遇到几十 G 的流量打过来，机房直接 null route，网站照样下线。

判断标准很简单：如果攻击峰值反复超过你源站带宽的一半，就该考虑换高防服务器，而不是继续在软件层面调规则。高防机房有专门的清洗设备，能把攻击流量在入口处过滤掉，正常请求再转发到你的机器。

美国方向的站，如果主要用户集中在北美，选西雅图或洛杉矶的机房延迟更低。像 美国西雅图高防服务器28 这类配置，E5-2683v4 双路加 64G 内存，100M 带宽月付 $279，适合已经有稳定流量、需要把防护从软件层挪到机房层的站。流量再大一些的场景，美国洛杉矶高防服务器33 用的是 E5 2698V4 双路，同样 64G 和 100M，月付 $479，洛杉矶到亚太的回程通常比西雅图稍好一点。

这两档的差别不在配置本身，在于你愿意为「被打的时候不慌」付多少钱。如果站还没到天天被盯上的程度，先把 CDN 和源站隔离做扎实，比直接上高防更划算。

日常该盯的几个信号

安全不是配完就完事。有几个指标我习惯每周扫一眼：源站出口流量有没有异常峰值、CDN 回源比例是不是突然升高、后台登录失败次数有没有集中出现。

回源比例升高通常意味着缓存规则出了问题，或者有人在绕过 CDN 直接打源站。登录失败集中出现，多半是有人在跑字典。这两个信号出现任何一个，都值得当天查一下日志。

最后给一个可以直接执行的结论：日访问量几千以内的小站，Cloudflare 免费版加源站白名单足够，成本接近零；有真实业务收入、被打过或者被扫过的站，把预算放到高防源站上，月付两三百美元这个区间能买到 100M 带宽加机房级清洗，比事后救火便宜。完全没做过源站隔离、域名还直连真实 IP 的站，先别急着买高防，把这一步做完再说。