高防cdn如何配置主机 常见误配置风险与修复方法

1.

高防CDN与主机架构概述

1) 解释高防CDN在DNS、流量清洗和反向代理中的作用。
2) 列出常见部署模型：全流量走CDN、仅静态资源走CDN、混合走向。
3) 举例主机角色：源站（VPS/物理机）、备份机房、负载均衡器（HAProxy/Nginx）。
4) 提供示例主机配置：VPS 8 vCPU、16GB RAM、1Gbps带宽、SSD 500GB。
5) 说明为何要把源站IP隐藏，仅允许CDN回源IP白名单访问。

2.

常见误配置一：直接暴露源站端口与IP

1) 问题描述：源站未限制回源IP，导致绕过CDN直接攻击。
2) 风险数据：某电商被绕过CDN攻击，峰值流量350Gbps，源站带宽被耗尽。
3) 修复方法：在防火墙或云安全组中只允许CDN出站IP段访问源站的80/443端口。
4) 配置示例（iptables）：

iptables -A INPUT -p tcp -s 203.0.113.0/24 --dport 443 -j ACCEPT
iptables -A INPUT -p tcp --dport 443 -j DROP

5) 验证：用tcpdump抓包确认只有CDN回源IP在连接源站端口。

3.

常见误配置二：真实客户端IP丢失导致策略失效

1) 问题描述：未正确配置proxy protocol或X-Forwarded-For，日志出现CDN节点IP而非真实IP。
2) 风险：基于IP的限速、黑名单和WAF规则失效。
3) 修复方法：启用CDN的proxy_protocol并在Nginx/HAProxy上解析，或使用X-Forwarded-For并启用real_ip模块。
4) Nginx示例配置：

real_ip_header X-Forwarded-For;
set_real_ip_from 203.0.113.0/24;

5) 验证：访问日志应显示真实客户端IP，运行curl并比对日志条目。

4.

常见误配置三：错误的DNS/A记录与TTL设置

1) 问题描述：将域名A记录直接指向源站IP，TTL设置过短或过长皆有问题。
2) 风险：短TTL在切换时增加解析负载，长TTL在切换CDN或更换回源时影响恢复速度。
3) 修复方法：将主域名指向CDN提供的CNAME或任何cast IP，源站设置为非公开记录；TTL建议300-600秒用于应急切换。
4) 实操：在域名提供商处把A记录改为CNAME -> cdn.example.net，保留子域名（如admin.example.com）短TTL并限制访问。
5) 验证：使用dig +short 域名检查解析是否指向CDN，并测试切换时间。

5.

常见误配置四：WAF和限速规则设置不当

1) 问题描述：规则过宽放行恶意请求或过严误伤正常用户。
2) 风险：误封合法用户、造成业务可用性下降或放行攻击流量。
3) 修复方法：基于业务流量分析分阶段下发规则，使用挑战页（CAPTCHA）和动态速率限制。
4) Nginx限速示例：

limit_req_zone $binary_remote_addr zone=one:10m rate=10r/s;
limit_req zone=one burst=20 nodelay;
limit_conn_zone $binary_remote_addr zone=addr:10m;
limit_conn addr 20;

5) 验证：通过压力测试（ab或wrk）观察限速效果并调整阈值。

6.

内核与主机级优化（防SYN/连接耗尽）

1) 问题描述：内核默认参数无法承受高并发SYN/半开连接攻击。
2) 修复建议：启用SYN cookies并调优tcp backlog等参数。
3) 示例sysctl配置：

net.ipv4.tcp_syncookies = 1
net.ipv4.tcp_max_syn_backlog = 4096
net.ipv4.tcp_fin_timeout = 30
net.core.somaxconn = 10240

4) 主机规格示例：源站 VPS 8 vCPU/16GB，worker_connections=10000，worker_processes auto。
5) 验证：在攻击流量下观察SYN_SENT与半开连接数，通过ss -s 和 netstat 查看指标。

7.

真实案例：某电商双11混合攻击与修复过程

1) 背景：双11期间，某电商遭遇HTTP GET与SYN混合攻击，峰值350Gbps、并发连接600万。
2) 初始误配置：源站A记录暴露、未启用proxy_protocol、WAF规则未上线。
3) 处置步骤：1) 立刻把域名切回高防CDN的CNAME；2) 在防火墙添加CDN回源IP白名单；3) 开启CDN速率与挑战页；4) 调整内核参数并扩容回源带宽。
4) 结果数据（见下表）：对比攻击前后与防护生效后的峰值与可用性。
5) 结论：及时锁定源站与开启CDN策略是关键，内核与WAF配合能大幅提升稳定性。

8.

长期运维建议与检查清单

1) 日常检查：确认域名解析指向CDN、源站IP未公开、回源白名单准确。
2) 定期演练：每季度做一次切换到备用机房和CDN失效演练，TTL设置在演练中验证。
3) 监控告警：设置带宽/连接/错误率告警，建议阈值带宽突增10倍触发人工介入。
4) 备份策略：保存WAF规则与限速策略快照，定期审核IP白名单以防误放行。
5) 合同与SLA：与CDN厂商确认清洗能力（如峰值清洗能力、响应时间）并写入SLA。