高防服务器还是高防CDN，我到底该选哪个？

业务只要是通过域名对外提供服务的（网站、App 接口、游戏、直播、支付回调），选云高防CDN。核心差别在防御形态：高防服务器把清洗压在一个机房，上限就是那条管道，被打超了只能黑洞；高防CDN 在 3000+ 个节点分布式清洗，攻击在靠近来源处被消化，还顺带解决了源站隐藏、CC 防御和访问加速。只有纯 IP 的非标协议、无法以域名接入的场景，才更适合走高防服务器那条路。

高防服务器被黑洞了怎么办？黑洞期间还能接入你们吗？

能，而且这正是最常见的接入场景。黑洞是运营商在网络层封掉你的 IP，你在服务器里做任何操作都没用，只能等封禁时间走完。可行的做法是：立刻把域名解析切到我们的节点，同时给源站换一个未被封的 IP 作为回源地址 —— 攻击者继续打老 IP 无所谓，那个 IP 反正已经黑洞了。整个过程分钟级，7×24 中文技术团队会全程跟着你切。

高防服务器的 IP 已经暴露了，还有救吗？

有。暴露的本质是攻击者知道了你机器的固定地址，那就让这个地址不再承担对外服务。接入我们之后 DNS 只解析到边缘节点，源站换一个新 IP、防火墙只放行我们的回源网段，其余来源一律丢弃，攻击者手上的老 IP 打的是一台不再提供服务的机器。之后他再怎么扫，能拿到的都是可随时替换的节点地址，源站永远不出现在解析结果里。

换更高防御等级的高防服务器要迁移业务吗？用你们要不要迁？

高防服务器提等级基本等于换机器：重装环境、迁数据库、改解析，业务要停一段时间，而且往往是在已经被打疼之后才被迫做。用我们不需要迁 —— 我们不销售服务器，你的源站原封不动留在现有机器上，防御等级在控制台调档就是弹性扩容，几分钟生效，用户完全无感知，也不存在「换机器」这个动作。

高防服务器能防 CC 吗？

基本防不住。高防服务器的清洗针对流量型攻击，判断依据是包速率和带宽异常；而 CC 发的是完整合法的 HTTP 请求，参数正常、IP 分散、频率也可以压得很低，从网络层看跟真实用户一模一样，只会被放行。挡 CC 需要应用层能力：访问频次与路径分布分析、客户端指纹与行为识别、必要时的人机校验，再加上缓存把重复请求挡在边缘 —— 这些在传统高防机器上通常是没有的。

已经买了高防服务器，还需要再上 CDN 吗？

需要，而且两者不冲突。已经付过钱的那台服务器可以继续当源站，硬件投入一点不浪费；我们挡在它前面补上它没有的部分：源站隐藏、WAF 与 CC 行为识别、就近访问与缓存加速、CN2 回国链路，以及超过单机房上限时的分布式清洗。稳定跑一段时间后，多数客户会把原来那台高防机器降配成普通服务器，那部分防御费用直接省下来。

基石云 vs 传统高防服务器：云高防和单机房高防怎么选

传统高防服务器把清洗设备装在一个机房里，所有攻击流量都要打到同一个入口、挤同一条管道、砸同一个对外暴露的真实 IP —— 量一超标，运营商就把这个 IP 丢进黑洞，整站直接消失。RockCloud 基石云把清洗摊到全球 3000+ 个节点上分布式消化，源站 IP 完全隐藏，并补上单台机器根本给不了的东西：WAF、CC 行为识别、缓存加速与 CN2 回国链路。你现有的服务器不用动，继续当源站就行。

申请 24 小时免费测试

核心差异一览

RockCloud 基石云云高防与传统高防服务器在清洗形态、带宽上限、源站隐藏、应用层防御、扩容方式与访问速度上的对比
对比维度	RockCloud 基石云（云高防CDN）	传统高防服务器
防御形态	全球 3000+ 节点分布式清洗，攻击在靠近源头处被就地消化	清洗集中在单一机房，所有攻击流量必须汇聚到同一个入口
防御带宽上限	全网 7T+ 清洗能力，单 IP 最高承受 3 Tbps	上限受该机房给你的出口管道约束，买多大就是多大
超量时怎么处理	先提清洗等级把业务撑住，优先保可用而不是切断	触发机房黑洞，IP 网络层不可达，整站数小时不可用
源站 IP	完全隐藏，对外只暴露可随时替换的边缘节点地址	真实 IP 直接对外暴露，攻击者盯着一个固定靶心打
应用层防御	WAF 规则 + CC 行为识别 + 人机校验，边缘就完成拦截	只有网络层清洗，无 WAF、无 CC 识别，合法请求一律放行
扩容方式	控制台调档弹性扩容，几分钟生效，业务无感知	提防御等级要换机器：重装环境、迁数据、改解析，业务停摆
访问速度	3000+ 节点就近响应、98% 缓存命中，CN2 GIA 双向直连回国	机房只在一两个地点，防住了但跨境访客依旧要绕远路

四个真正拉开差距的地方

这四点在平时看不出来，一旦攻击量上来或者用户分布变广，差距会立刻变成实打实的停机时长和流失率。

一个机房的上限，就是你的防御上限
高防服务器的清洗设备就装在它所在的那个机房，攻击流量必须先跑到这一个入口才能被处理。机房分给单客户的出口带宽是硬上限，一旦超过这条管道，运营商为了保住同机房其他客户，会直接把你的 IP 丢进黑洞 —— 不是清洗失败，是网络层彻底不可达，一封通常两小时起步，登进服务器也无济于事。我们把清洗摊在全球 3000+ 个节点上，攻击在靠近来源处被分散消化，全网 7T+ 清洗能力、单 IP 最高承受 3 Tbps；真遇到超出档位的极端量，我们先提升清洗等级把业务撑住，而不是把你丢进黑洞让你干等。
固定的真实 IP，就是攻击者的靶心
高防服务器的防护绑在那台机器的公网 IP 上，而这个 IP 必须对外可见 —— 攻击者 ping 一下域名就拿到了靶心，之后所有火力都砸向这一个点。更麻烦的是 IP 一旦暴露就很难洗干净：历史解析记录、证书日志、邮件头里都留着痕迹，换一次 IP 就要再改一次解析、再等一次生效，过几天照样被找出来。接入我们之后，DNS 只解析到边缘节点，源站藏在回源链路后面，你只需在源站防火墙放行我们的回源网段、其余一律丢弃 —— 攻击者能扫到的每个地址都是可随时替换的节点。
只有网络层防御，挡不住真正难缠的那一类
高防服务器解决的是流量型攻击：SYN Flood、UDP 反射这些靠「量」取胜的打法，判断依据是包速率与带宽异常。但真正把业务打停的往往是 CC —— 每个请求都是完整合法的 HTTP 请求，参数正常、来源分散，从网络层看和真实用户没有区别，清洗设备只会放行，然后数据库先撑不住。传统方案里没有 WAF、没有指纹与行为识别、没有人机校验，只能靠源站硬扛。我们在边缘就做完这一层：按频次、路径分布与客户端指纹识别 CC，WAF 拦住注入与扫描，静态请求 98% 命中缓存，大部分压力到不了源站。
防住了不等于跑得快，也不该为提防御换一次机器
高防机房通常只在一两个地点，无论用户在哪都得绕过去，跨境与海外访客的体验不会因为你买了高防而变好 —— 防御和加速本是两件事，传统方案只解决了前一件。而当攻击量涨上去，你唯一的选择是换一台防御更高的机器：重装环境、迁数据、改解析，业务真的要停，可攻击不会等你迁完。我们这边加速与防御跑在同一条链路、算同一份费用：3000+ 节点就近响应，CN2 GIA 双向直连保住大陆访客速度，防御等级在控制台调档即可弹性扩容。你的服务器一动不动继续当源站，我们只是挡在它前面。

客户为什么从高防服务器换成云高防

这些是从传统高防机器迁过来的客户最常给出的理由。

被黑洞过一次就不敢再赌 —— 攻击量刚超过机房给的管道，IP 就被整个封停，官网、App 接口、支付回调全线不可用，客服被打爆，自己却只能盯着控制台等解封。
真实 IP 早就暴露，换 IP 治标不治本 —— 历史解析记录、证书日志、邮件头到处是痕迹，折腾一整晚换完 IP，两天后攻击者又精准找了回来。
CC 打进来时高防机器毫无反应 —— 网络层看这些请求全都合法，一律放行，最后是数据库和应用先被打死，而不是带宽被打满，防御报表上却显示「无异常」。
想提防御等级就得换机器 —— 重装环境、迁数据库、改解析，一个通宵起步，还得挑业务低峰期做，而攻击偏偏挑高峰来。
防住了但依然慢 —— 高防机房就在一两个地点，海外与跨境用户绕一大圈，加载慢、转化差；而那台服务器本身还想继续用，不愿意为了加速再推倒重来。

从高防服务器切过来只要四步

不用重装、不用迁数据、不改业务代码，源站原地不动，解析切回去就是原状。

源站原地不动
你现有的服务器继续做源站，环境、数据、部署方式全不用改 —— 我们不卖服务器，只是挡在它前面。
接入并灰度
在控制台添加域名、填好回源地址，先用测试域名或小流量解析跑通，比对时延、命中率与成功率。
切解析、藏源站
主域名 CNAME 指过来，五分钟内全网生效；随后更换源站 IP 并只放行我们的回源网段，让旧地址彻底失效。
开策略、退旧机
按业务开启 WAF 与 CC 策略、配好缓存规则；稳定运行一两周后，把原来那台高防机器降配或退租。

高防CDN 与高防服务器对比常见问题

: 业务只要是通过域名对外提供服务的（网站、App 接口、游戏、直播、支付回调），选云高防CDN。核心差别在防御形态：高防服务器把清洗压在一个机房，上限就是那条管道，被打超了只能黑洞；高防CDN 在 3000+ 个节点分布式清洗，攻击在靠近来源处被消化，还顺带解决了源站隐藏、CC 防御和访问加速。只有纯 IP 的非标协议、无法以域名接入的场景，才更适合走高防服务器那条路。
: 能，而且这正是最常见的接入场景。黑洞是运营商在网络层封掉你的 IP，你在服务器里做任何操作都没用，只能等封禁时间走完。可行的做法是：立刻把域名解析切到我们的节点，同时给源站换一个未被封的 IP 作为回源地址 —— 攻击者继续打老 IP 无所谓，那个 IP 反正已经黑洞了。整个过程分钟级，7×24 中文技术团队会全程跟着你切。
: 有。暴露的本质是攻击者知道了你机器的固定地址，那就让这个地址不再承担对外服务。接入我们之后 DNS 只解析到边缘节点，源站换一个新 IP、防火墙只放行我们的回源网段，其余来源一律丢弃，攻击者手上的老 IP 打的是一台不再提供服务的机器。之后他再怎么扫，能拿到的都是可随时替换的节点地址，源站永远不出现在解析结果里。
: 高防服务器提等级基本等于换机器：重装环境、迁数据库、改解析，业务要停一段时间，而且往往是在已经被打疼之后才被迫做。用我们不需要迁 —— 我们不销售服务器，你的源站原封不动留在现有机器上，防御等级在控制台调档就是弹性扩容，几分钟生效，用户完全无感知，也不存在「换机器」这个动作。
: 基本防不住。高防服务器的清洗针对流量型攻击，判断依据是包速率和带宽异常；而 CC 发的是完整合法的 HTTP 请求，参数正常、IP 分散、频率也可以压得很低，从网络层看跟真实用户一模一样，只会被放行。挡 CC 需要应用层能力：访问频次与路径分布分析、客户端指纹与行为识别、必要时的人机校验，再加上缓存把重复请求挡在边缘 —— 这些在传统高防机器上通常是没有的。
: 需要，而且两者不冲突。已经付过钱的那台服务器可以继续当源站，硬件投入一点不浪费；我们挡在它前面补上它没有的部分：源站隐藏、WAF 与 CC 行为识别、就近访问与缓存加速、CN2 回国链路，以及超过单机房上限时的分布式清洗。稳定跑一段时间后，多数客户会把原来那台高防机器降配成普通服务器，那部分防御费用直接省下来。