高防CDN能防CC攻击，但要满足两个前提：边缘节点具备七层清洗能力，源站只能经由CDN访问。本文说明高防CDN拦截CC的四种手段，列出源站IP暴露、动态接口穿透、挑战方式误伤和非HTTP业务四类常见失效情况，并给出接入后的自查顺序和选型时要问清的问题。
高防IP和高防CDN可以同时使用，常见做法是串联纵深或按协议分流。本文说明两种架构分别适合什么业务，串联时怎样配置白名单和真实IP透传，叠加后延迟、排障和费用会增加多少复杂度，以及普通Web业务什么时候用一层一体化方案就够了。
网站正在被DDoS或CC打瘫时，恢复访问靠的是顺序而不是工具数量：先判断被打的是网络层还是应用层，再隔离源站（必要时换IP），然后切DNS到清洗节点，在边缘压制应用层请求，最后清理源站残留连接。本文按运维实际动手的顺序给出判断依据、常见返工点和恢复确认判据。
针对高防CDN接入后源站仍被直连的痛点，拆解源站隐藏的5道递进关口：从清理历史DNS与证书透明日志等暴露面，到解析层收口、网络层白名单隔离，再到传输层mTLS鉴权阻断绕过连接，最后由边缘承载应对容量型洪水。明确各层机制能挡什么、失效现象及验证方法，帮助运维与安全工程师构建确定性拦截体系。
T级DDoS攻击必须采用多地边缘分布式承载，单机房方案会在上行链路先断裂。本文拆解四段职责并给出选型对照表与自查清单。
0 条留言
RockCloud-基石云安全-官方博客
