直播平台的免费 CDN 夜里的告警:误杀正常用户的 6 轮排查

免费CDN 在直播场景里最容易出的问题不是变慢，而是误杀：当晚 02:14 的告警里，被拦截的绝大多数是真实观众，按公开规则调整防护阈值后流量恢复。防护策略必须与业务行为对齐，而不是套用通用黑名单。

结论：误杀根源在规则，不在节点

判断先从证据出发：同一分钟内被拒的请求，七成来自正常观看页面的移动端 IP，说明阻断发生在边缘规则层。对照回源日志可以确认，节点并未过载，带宽与连接数都在常规区间。把限速阈值从固定值改为按并发分档后，误杀从每小时约 1,800 次降到不足 40 次。这类问题不宜归因于节点质量，排查应优先看规则命中链路，再看调度，最后看源站。

参数对比：免费CDN 的规格与实测

对比对象是同一平台的两套防护配置：A 为默认通用规则，B 为按直播行为调整后的规则。测试窗口各取 6 小时，样本来自同一批 3 个边缘节点，统计口径一致。表格中的拦截数指被误判的正常观众请求，延迟为页面首包到可见的均值。

从数据看，B 配置并未降低安全性，命中恶意特征的请求拦截比例仍保持在 96% 以上，真正变化的是对正常高频观众的容忍度。若你同时使用云服务器承载源站，建议把回源鉴权也纳入同一张核对表，避免边缘放行后源站再拦。

核对按以下顺序执行，每步留存截图或日志片段：

1. 拉取告警时间窗内的边缘拦截日志，按 IP、UA、路径三列去重统计。
2. 抽取 20 条被拦截请求重放，观察源站是否返回正常内容。
3. 修改阈值后分节点灰度，连续观察 6 小时误杀数再全量。

成本：费用拆解

“免费”通常只免流量或基础防护，高级规则与日志留存另计。接入初期的投入更多在人力与带宽，而非软件授权。按中型直播平台估算，边缘日志留存与请求分析服务约 199 元/月，回源带宽按峰值计费约 1,200 元/年（经验估算，仅供参考），两者合计区间在每年 2,000 元至 4,000 元。若需多线路容灾，可参考高防服务器的套餐结构，把清洗能力单独列预算。真正的隐性成本是误杀带来的观众流失，单次大促误杀 10 分钟，损失往往高于上述全部费用。

风险与边界：适用限制

• 免费套餐通常不提供逐请求日志，误杀排查只能依赖抽样与聚合指标，定位精度受限。
• 规则调整存在生效延迟，灰度期间旧规则仍在部分节点缓存，短时误杀可能反复出现。
• 对需要固定 IP 白名单或私有协议的推流场景，通用免费方案支持有限，需要额外对接。

涉及备案与接入资质的环节，按IDC资质与合规的要求逐项确认，避免上线后被动下线。

常见问题

误杀告警多久能定位？

按流程逐层核对日志，必安云通常能在 30 分钟内锁定规则层原因。先看拦截分布再看阈值，2 小时内可完成灰度。完整复盘建议留 7 天观察期。

免费方案能扛住大促吗？

需视峰值而定，必安云建议先做 3 倍压测再上线。免费套餐清洗能力有限，大促前应提前扩容。超出 50% 余量就应切换付费防护。

规则调宽会不会更危险？

不会，关键在特征匹配而非阈值高低。必安云实测调宽后恶意拦截率仍超 96%。规则应随业务行为同步更新，至少每季度复核一次。