高防CDN怎么选？防护能力、节点和测试范围分别看什么

有些高防CDN的产品页看完以后，会让人产生一种错觉：防护峰值越大、节点越多，网站就越安全。

真正接入后才可能发现，宣传页上的“T级防护”说的是全网资源池，不一定是单个业务能够获得的防护能力；正常业务带宽买小了，即使没有攻击也会限速；高防节点虽然挡住了攻击，却让原本正常的用户绕路；CC规则开得太严，攻击请求被拦住了，搜索引擎、接口调用和正常用户也一起受影响。

所以，高防CDN怎么选，不能只比较一个防护数字。至少要同时回答三件事：

• 它能防什么，承诺防到什么程度？

• 防护节点是否覆盖自己的真实用户？

• 测试有没有包含正常访问、规则误拦截和防护切换后的表现？

这三个问题少看一个，选型结果都可能失真。

先确认：你需要的到底是不是高防CDN

“高防CDN”并不是一个规格完全统一的产品名称。不同厂商可能把CDN、DDoS防护、CC防护、WAF、Bot管理和四层代理组合在一起销售，但各项能力是否包含、适用于什么协议、怎样计费，并不相同。

选型前先看业务类型：

如果业务不是HTTP/HTTPS，不能看到产品名称里有“CDN”就默认它能保护TCP或UDP端口。

反过来，高防IP能够清洗攻击流量，也不代表它具备完整的边缘缓存、静态资源优化和全球节点调度能力。

防护能力先看攻击层级，不要先看“多少G”

DDoS攻击只是一个总称。网站可能面对的风险至少分成下面几类。

网络层和传输层攻击

常见目标是耗尽带宽、连接状态或网络设备处理能力，例如UDP Flood、SYN Flood等。

评估这部分时，需要了解服务是否覆盖L3/L4攻击、支持哪些协议，以及攻击流量超过已购规格后会怎样处理。

HTTP Flood和CC攻击

这类攻击看起来更像大量正常网页请求，重点消耗的是连接、请求处理能力、数据库或后端接口资源。

仅有很大的网络层清洗带宽，不等于能够准确识别应用层恶意请求。

这里更应该看：

• 能否按URL、请求方法、Header、Cookie、客户端特征等条件制定规则；

• 是否支持速率限制、托管挑战、验证码或其他验证动作；

• 规则是否有观察或仅记录模式，方便上线前检查误报；

• 是否能够区分登录、搜索、支付回调、开放API等不同路径；

• 是否能看到规则命中、攻击来源和被拦截请求的详细日志。

Cloudflare对其DDoS系统的公开说明显示，应用层检测会分析HTTP请求元数据、请求速率和源站错误率等信号，缓解动作也可能包括阻断、托管挑战和记录。这可以帮助我们理解，为什么HTTP层防护不能只用带宽衡量。详见Cloudflare DDoS防护工作原理。

Web漏洞攻击和恶意Bot

SQL注入、XSS、漏洞利用更接近WAF的防护范围；恶意采集、撞库、抢购和自动化滥用，则可能需要Bot管理、行为识别或业务风控。

WAF、Bot防护和DDoS防护彼此有关，但不能互相替代。

供应商写着“支持Web安全”，还需要继续确认具体包含什么规则集、能否自定义、是否额外计费，以及日志保留多久。

防护峰值、业务带宽和QPS，是三笔不同的账

高防产品最容易误读的地方，是把几种完全不同的容量指标放在一起比较。

阿里云的官方文档明确区分了保底防护带宽、弹性防护带宽和业务带宽，并说明攻击超过保底防护后可能触发弹性防护费用；正常业务流量超过业务带宽，同样可能带来限流或额外成本。

可参考阿里云DDoS高防实例购买说明和弹性防护带宽计费说明。

这不是某一家厂商特有的问题，而是比较高防产品时必须主动拆开的规格。

看到“1Tbps防护”时，至少继续问：

• 这是全网总容量、单个清洗中心容量，还是单个客户可使用的能力？

• 属于保底承诺、弹性上限，还是“尽力防护”？

• 单次攻击、同一时段多次攻击和多个域名同时被攻击，计算方式是否相同？

• 超过规格以后，是黑洞、限速、切换资源，还是产生按量费用？

• 弹性费用按攻击峰值、持续时间还是固定区间计算？

• 有没有防护次数、区域、IP数量或域名数量限制？

如果销售合同和SLA没有写清楚，仅凭产品首页上的大数字，很难判断真正的保障范围。

“无限防护”和“全力防护”，要继续追问边界

无限防护不一定等于任何攻击规模下都无条件保证业务可用。它有可能包含公平使用限制、指定攻击类型、指定区域、次数限制或尽力而为条款。

这类表述不能只问“有没有”，而要让供应商给出可以书面确认的答案：

• 什么情况属于承诺防护，什么情况属于尽力防护？

• 攻击达到什么条件会触发黑洞或流量封禁？

• 防护失败时是否有SLA补偿？

• 攻击期间是否仍保证正常业务带宽和QPS？

• 是否需要提前报备大促、发布会或特殊活动？

• 单个域名、单个IP和整个账号之间是否共享防护资源？

有些产品的弹性防护按实际触发的攻击峰值计费。如果没有设置费用告警或上限，一次攻击即使防住了，也可能带来超出预期的账单。

因此，计费规则本身就是安全方案的一部分。

高防节点怎么看？先看用户路径，再看节点数量

高防CDN的节点承担两件事：平时为正常用户提供内容，发生攻击时识别并过滤恶意流量。

节点很多固然可能带来更广的覆盖，但数量并不能说明节点容量、线路质量和高峰期表现。

评估节点时，应该关注四个问题。

用户会被调度到哪个节点

如果用户主要位于中国大陆，应分别查看核心城市的电信、联通、移动访问情况。用户主要在东南亚、欧洲或北美，就要按实际国家和当地网络分布测试。

不要拿“全球节点总数”代替目标地区的有效节点数，也不要只在供应商机房所在城市测试。

可以通过CDNChart网站测速观察不同地区和运营商的解析IP、连接耗时、TTFB及下载表现。

高防节点和普通加速节点是不是同一套资源

有些方案平时走普通CDN节点，遭遇攻击后再切换到高防节点或清洗中心；另一些方案则始终在边缘网络完成检测和缓解。

两种架构没有脱离业务场景的绝对优劣，但必须问清楚：

• 攻击前后用户是否会更换节点或IP；

• 切换由系统自动触发还是需要人工操作；

• 切换期间是否会中断已有连接；

• DNS TTL和本地DNS缓存是否影响生效时间；

• 清洗后正常流量如何回源，路径是否明显变长；

• 攻击结束后何时回切，是否可能频繁震荡。

节点是否真正覆盖需要的运营商

“国内BGP节点”也不能替代三网实测。一个节点能够接入多家运营商，不代表所有线路在晚高峰都有相同容量和路由质量。

中国大陆用户为主时，核心地区至少交叉测试电信、联通和移动。测试思路可以参考《中国大陆用户为主，选CDN应该重点看哪些地区和运营商？》，再根据自身日志调整权重。

源站在哪里，回源路径是否合理

高防节点挡在前面，并不意味着源站性能不再重要。缓存未命中、动态请求、登录接口和上传业务仍然需要回源。

如果高防节点在中国大陆，而源站远在海外，动态请求可能在清洗后继续经历较长回源链路；如果源站带宽很小，即使攻击请求被过滤，正常的缓存未命中也可能压垮源站。

源站IP没有藏住，再高的防护也可能被绕过

高防CDN通常依赖反向代理：用户访问CDN节点，CDN再回源。如果攻击者能够发现并直接访问源站IP，就有可能绕过CDN，把流量直接打到源站。

接入时至少检查：

• 当前DNS记录是否还暴露源站IP；

• 历史DNS、旧子域名、邮件服务或测试环境是否与源站共用IP；

• 源站安全组或防火墙是否只允许CDN回源地址；

• 回源鉴权Header、mTLS或其他身份校验是否可用；

• 源站管理端口是否暴露在公网；

• IP更换后，旧地址是否仍然能够访问真实业务。

可以使用CDNChart CDN检测查看域名当前的CNAME、节点IP和可能使用的CDN，但它不能证明源站已经完全隐藏。

源站保护还需要结合DNS资产、云安全组、主机防火墙和访问日志一起检查。

高防CDN应该测试哪些内容？

真正有价值的测试，不是自己制造一场大流量攻击。

未经授权的压力测试可能影响供应商网络、其他客户和自己的生产业务，也可能违反服务协议。

更稳妥的做法，是与供应商约定POC范围、测试窗口、目标域名、流量上限和应急联系人，然后从下面四个层面验证。

第一层：无攻击时的正常性能

先建立基线，否则攻击期间变慢以后，不知道差异从哪里开始。

建议测试：

• DNS解析结果和调度节点；

• TCP连接、TLS握手、TTFB和总耗时；

• P50、P95和超时率；

• 小文件延迟与大文件持续吞吐；

• 冷缓存、热缓存和动态回源；

• 电信、联通、移动及核心用户地区；

• 工作日、周末和业务高峰时段。

不要用一次最快成绩作为结论。可以参考CDNChart测评方法，用分位数和足够样本观察典型表现与尾部波动。

第二层：业务兼容性和安全规则

把真实业务路径列出来逐一验证：

应用层防护最怕两种结果：规则太松，攻击穿透源站；规则太紧，正常用户无法访问。

POC阶段应先使用观察或记录模式分析规则命中，再逐步调整动作，不要直接把最严格策略一次性推到全站。

第三层：防护切换和故障演练

这里测试的不是“能不能发出多大攻击”，而是防护流程是否可控。

可以在供应商配合下进行授权演练，观察：

• 告警是否及时到达正确联系人；

• 自动切换或流量牵引是否按约定执行；

• 切换期间成功率、P95和源站连接数如何变化；

• 已建立的长连接是否中断；

• 防护节点是否仍能覆盖主要地区和运营商；

• 回切后DNS、缓存和会话是否恢复正常；

• 控制台能否提供攻击类型、峰值、持续时间和处置动作。

AWS公开的DDoS防护资料把包校验、ACL与整形、可疑度评分、SYN代理等列为不同缓解机制，也说明“挡住攻击”背后可能存在多种动作。

采购方不需要掌握厂商内部算法，但应该知道防护触发后系统会对流量做什么。详见AWS Shield DDoS缓解机制。

第四层：攻击后的分析和恢复

一次防护事件结束后，平台至少应该让运维人员回答：

• 攻击从何时开始；

• 属于什么类型；

• 峰值多大；

• 哪些规则生效；

• 源站有没有受到影响；

• 正常用户有没有被误拦。

因此还要测试：

• 攻击日志能否按时间、域名、URL、来源和规则检索；

• 是否提供原始日志、报表或API导出；

• 告警是否区分攻击流量和正常业务突增；

• 日志保留时间是否满足排障与审计需要；

• 供应商能否提供事件复盘和规则调整建议；

• 工单、电话和紧急响应渠道在非工作时间是否有效。

“控制台上显示已防护”只是结果的一部分。无法解释如何识别、拦截了什么、正常用户是否受影响，就很难在下一次事件中改进。

测试范围怎么定，才不会越测越乱？

可以把测试矩阵控制在五个维度：

每个测试单元应尽量使用相同URL、文件大小、缓存规则和样本量。

记录字段可以包含：

时间、地区、运营商、解析IP、HTTP状态码、DNS耗时、
TCP耗时、TLS耗时、TTFB、总耗时、吞吐量、缓存状态、
防护规则、规则动作、源站状态、测试场景

如果需要先筛选候选厂商，可以查看CDN厂商对比中的性能、覆盖与公开安全信息，再向厂商索取当前套餐的正式规格。

公开资料适合初筛，合同、POC和真实业务监控才是最终依据。

怎样设计一张不会被宣传数字带偏的评分表？

不同业务的风险差异很大，评分权重也应不同。下面是一组示例，只用于展示方法，并非所有网站的通用标准。

评分之前先设置硬性淘汰项会更实用。

例如：不支持关键协议、核心运营商持续超时、源站无法限制回源来源、弹性费用没有可接受的控制方式，或者供应商不愿书面说明超限后的处理规则。

这些问题不适合用其他项目的高分抵消。

联系供应商时，直接问这份问题清单

与其问“你们能不能防DDoS”，不如把问题问到可以落在合同和测试记录里的程度：

• 防护覆盖L3/L4、HTTP Flood、CC、WAF和Bot中的哪些部分？

• 展示的防护容量属于全网、单节点还是单客户规格？

• 保底防护、弹性防护、业务带宽和业务QPS分别是多少？

• 超过每项规格后会发生什么，是否触发黑洞、限速或额外费用？

• 弹性防护如何计费，能否设置预算告警或费用上限？

• 中国大陆哪些城市和运营商有高防节点，攻击期间是否切换节点？

• 是否支持IPv6、WebSocket、HTTP/3、Range和大文件上传？

• 源站IP如何隐藏，只允许CDN回源需要配置哪些地址或鉴权？

• 防护规则能否先记录不拦截，误报后多久可以调整？

• 攻击日志保存多久，是否支持检索、下载和API？

• SLA覆盖哪些指标，防护失败和长时间不可用如何补偿？

• 是否允许POC和授权演练，测试边界与联系人是谁？

能够清晰回答这些问题的方案，才具备进一步测试的价值。

一直重复“节点很多、容量很大、智能防护”，却无法给出规格边界和超限处理方式，采购风险很难评估。

常见问题

高防CDN和普通CDN有什么区别？

普通CDN的核心任务是缓存和分发内容，高防CDN通常在此基础上增加DDoS、CC、WAF或其他安全能力。

但“高防CDN”没有完全统一的功能边界，具体仍要看产品规格和合同。

高防CDN能防住所有DDoS攻击吗？

不能这样承诺。

防护结果与攻击类型、规模、已购规格、节点资源、规则配置和源站安全有关。应该关注承诺范围、弹性上限、超限处置和攻击期间的正常业务可用性，而不是寻找一个抽象的“绝对防住”。

防护能力越大越好吗？

在其他条件相同时，更充足的防护资源当然有价值。

但如果正常业务带宽不足、CC识别较弱、节点离用户很远，或者源站IP可以被直接访问，再大的宣传峰值也解决不了全部问题。

高防CDN能完全隐藏源站IP吗？

CDN代理可以避免在当前DNS记录中直接展示源站地址，但能否真正隐藏，还取决于历史DNS、其他子域名、邮件服务、证书资产以及源站防火墙配置。

接入后应限制源站只接受可信回源流量，并排查旧地址和旁路入口。

可以自己发攻击流量测试高防CDN吗？

不要未经授权自行测试。

即使目标是自己的域名，也可能影响共享网络、上游服务和其他客户。应由供应商确认测试窗口、目标、流量上限和允许的方法，或使用供应商提供的正式演练服务。

小网站应该一开始就购买最高规格吗？

通常没有必要先按最大宣传规格购买。

先看历史攻击、业务峰值、停机损失、源站成本和预算，再选择能够覆盖主要风险的保底规格，并弄清弹性扩展和超限处理。

如果目前没有历史攻击数据，可以先整理访问日志、峰值带宽、峰值QPS和异常事件，再通过CDNChart选型建议缩小候选范围。带着真实业务基线去询价，通常比直接问“哪家高防CDN最好”更容易得到可验证的答案。