CDN安全角色
现代CDN不仅是加速工具，更是安全防线。将WAF和DDoS防护部署在CDN边缘，可以在攻击流量到达源站之前将其拦截，大幅提升防护效率。
DDoS防护
攻击类型与防御
- 容量型攻击（UDP Flood/DNS Amplification）：CDN利用全球带宽池吸收攻击流量。Cloudflare宣称可防御100Tbps以上攻击
- 协议型攻击（SYN Flood/Ping of Death）：边缘节点TCP代理过滤异常数据包
- 应用层攻击（HTTP Flood/Slowloris）：WAF规则+速率限制+行为分析识别恶意请求
防护架构
多层防御：L3/L4攻击在网络层过滤 → L7攻击在应用层分析 → 可疑流量进入验证（CAPTCHA/JS Challenge）→ 恶意流量黑洞丢弃。所有操作在边缘完成，源站零感知。
WAF配置
规则类型
- 托管规则：CDN厂商维护的通用规则集（OWASP Core Rule Set等）
- 自定义规则：根据业务特点编写的专属规则
- 速率规则：基于请求频率的限制
- Bot管理：区分合法爬虫和恶意Bot
误报处理
WAF最大的挑战是误报。建议：新规则先设为观察模式（Log Only）→ 分析日志确认无误报 → 切换为拦截模式。使用WAF模拟测试工具验证规则准确性。
Bot管理
区分好Bot（Googlebot、监控工具）和坏Bot（爬虫、撞库、抢购脚本）。技术手段：JavaScript Challenge验证浏览器环境、TLS指纹识别、行为分析（鼠标轨迹、访问模式）。Cloudflare Bot Management和Akamai Bot Manager是行业领先方案。