网站防不住攻击，问题多半出在这几个环节

先搞清楚你的站到底在怕什么

很多人一提到网站安全就想到装个 WAF，但攻击方式不一样，防护手段完全对不上。CC 攻击打的是应用层，考验的是数据库查询和 PHP 执行效率；流量型 DDoS 打的是带宽，考验的是机房能帮你扛多少 G。两种攻击的应对方式差得很远。

我一般会先问一句：你的源站 IP 有没有暴露过。这个问题比装什么防护都关键。源站 IP 一旦被扫出来，攻击者可以绕过 Cloudflare 直接打你的服务器，前面套的那层防护等于白做。

查源站有没有暴露，可以从几个地方入手：

• 历史 DNS 记录，很多站长换 CDN 之前解析过真实 IP，这些记录会被第三方平台存档
• SSL 证书的签发记录，某些证书会暴露服务器真实地址
• 邮件服务，如果站点和邮件用同一台服务器，邮件头里可能带着真实 IP

这几项查完，如果源站已经暴露，光靠 Cloudflare 是不够的，得从源站本身做防护。

Cloudflare 免费版能挡什么，挡不住什么

免费版最实用的功能是隐藏源站 IP 和基础的 CC 防护。对于日均几千 IP 的小站，这套组合基本够用。但免费版有几个硬限制：流量型 DDoS 超过一定量级，Cloudflare 会回源，源站直接暴露在攻击流量下。

我见过不少站长以为套了 Cloudflare 就万事大吉，结果被打到源站宕机才发现免费套餐的防护上限。Cloudflare 的付费套餐价格不低，Pro 版 20 美元一个月，Business 版 200 美元，真正能扛大流量的 Enterprise 版要几千美元起步。

如果你的站经常被攻击，或者业务本身对可用性要求高，与其在 CDN 套餐上不断加钱，不如换一个思路：把源站放到高防服务器上，让机房帮你做流量清洗。这样 Cloudflare 继续负责隐藏 IP 和 CC 防护，高防服务器负责扛流量，两层各管各的。

美国洛杉矶高防服务器11 这类方案，E5 2620 配 32G 内存，100M 带宽，月付 239 美元，带防护能力。对于主要面向海外用户的站点，放在洛杉矶机房延迟也比较合理。需要看具体配置可以点 美国洛杉矶高防服务器11。

源站扛不住的时候，钱该花在哪一步

这是整件事最关键的一个判断点。很多人的做法是先把 Cloudflare 升级到 Business，发现还是被打，再回头换服务器，中间浪费了时间和钱。

正确的顺序我建议这样：先确认源站 IP 有没有暴露，暴露了就换 IP 或者上高防；源站没暴露但经常被打到超载，说明单台服务器的带宽和处理能力不够，这时候加钱在服务器上比加钱在 CDN 上划算。

为什么这么说？Cloudflare Business 版一个月 200 美元，这笔钱买不到任何带宽和计算资源，只是买了一层防护规则。同样 200 到 300 美元的预算，放到高防服务器上，你得到的是实打实的硬件资源和机房级别的流量清洗能力。

具体怎么选配置，看你的攻击类型。CC 攻击为主的话，CPU 和内存要够，建议至少 32G 内存，数据库单独优化。流量型攻击为主的话，带宽和防护等级是重点，100M 独享带宽是基本盘，防护等级看历史攻击峰值来定。

美国硅谷高防服务器 XLIV 是双 Gold-6133 加 64G 内存的配置，100M 带宽，月付 379 美元，处理能力比入门款强不少。硅谷机房对亚太和美洲的覆盖都不错，适合用户分布比较散的站点。美国硅谷高防服务器 XLIV 的具体参数页面上有。

日常维护里几个容易被忽略的点

防护配好了不代表可以不管。后台登录地址如果还是 /admin 或者 /wp-login.php，每天会被暴力破解扫几百次。改个路径，加个二次验证，能省掉很多麻烦。

网站程序及时更新这件事说了很多年，但真正每次都跟的人不多。CMS 的漏洞补丁从公布到被批量利用，通常只有几天时间。我一般会在测试环境先跑一遍更新，确认没问题再推到线上。

数据库的自动备份要开着，但别只存在同一台服务器上。攻击者拿到权限之后第一件事往往是删备份。异地存一份，成本很低，关键时刻能救命。

最后给个直接的结论：日均几千 IP 的小站，Cloudflare 免费版加一个不暴露的源站 IP，基本够用；日 IP 过万或者被攻击过两次以上的站，源站放到高防服务器上，预算大概在 200 到 400 美元一个月这个区间；如果攻击峰值经常超过 100G，那就不是单台服务器能解决的事，需要机房层面配合做流量清洗，选方案之前先跟机房确认防护上限。