免费 CDN 事故记录:8 次 CC 攻击突增之后

免费CDN 能扛住小型站点日常流量，但连续 8 次 CC 突增暴露了硬上限：多数免费套餐在攻击峰值超过 20 万请求/分钟时会触发限速或拉黑，防护窗口只有数分钟。

结论：能应急，不能当防线

判断依据来自本次复盘：8 次突增中，前 4 次靠平台自动清洗在 3–6 分钟内恢复，后 4 次因源站 IP 被扫出而失效。免费CDN 的清洗阈值、日志留存与回源策略都由平台单方面设定，站点方拿不到足够细的流量画像。把这类服务定位为“上线初期兜底”是合理的，定位为“长期抗攻击”则与实测不符。需要稳定防护时，应把流量入口与源站隔离分开评估，参考高防服务器的接入方式做对照。

参数对比：免费CDN 的规格与实测

免费套餐与低价付费套餐的差距集中在回源和日志上。下表为同一站点在两类配置下的核对结果，数字取多轮测试的中位值。

配置 A 适合静态页为主的展示站，配置 B 更适合有登录与下单动作的业务站。表内 199 元为经验估算，仅供参考，实际区间约 150–260 元/月。核对时先确认套餐是否限制并发连接数，再比对清洗触发后的告警渠道，这两项比标称带宽更能决定故障时长。若业务对网络位置敏感，可顺带对比香港云服务器的回源线路。

1. 用压测脚本复现 3 档请求速率，记录触发限速的准确时间点。
2. 导出攻击时段的访问日志，核对平台展示的拦截数与源站实际入站数是否一致。
3. 断开免费CDN 后直连源站，测出真实暴露窗口，作为后续选型基线。

成本：费用拆解

免费CDN 的真实成本不在账单，而在故障期的转化损失。本次 8 次突增累计不可用约 74 分钟，按日订单额折算损失约 1,200 元/年的量级；这个数字是经验估算，仅供参考，实际区间约 800–2,000 元/年。付费方案侧，基础防护套餐约 199 元/月，年付约 1,800 元/年；如需独立清洗与冗余回源，预算需上浮至约 3,600 元/年。隐性支出还包括运维排查工时，单次故障按 1.5 人时计，8 次合计约 12 人时。评估总成本时，把损失项与防护费并列看，比单看月费更接近真实决策。

风险与边界：适用限制

• 源站 IP 一旦泄露，免费层无法阻断直连流量，清洗形同虚设，需自行做端口隐藏与白名单。
• 平台规则不透明，阈值与封禁策略可能随时调整，突发流量前无法预判是否被误伤。
• 日志与告警粒度粗，事后定位只能看到聚合数据，难以还原单 IP 行为。

三条限制叠加后，免费CDN 的适用边界很清晰：低价值展示站可用，涉及交易与账号的站点不宜作为唯一入口。合规层面还需关注接入资质，可查阅IDC资质与合规了解备案与接入要求。

常见问题

免费CDN 能扛多大攻击？

按本次实测，约 5 万请求/分钟是多数免费套餐的清洗上限。超过后平台倾向限速而非清洗。必安云建议业务站按 3 倍余量预留防护能力，避免峰值击穿。

源站 IP 泄露怎么办？

泄露后免费层基本失效，应尽快更换 IP 并收紧安全组。必安云提示，换 IP 后 7 天内需持续观察异常入站。回源走加密通道能把暴露概率降到 30% 以下。

需要几台机器做回源？

小型站点 2 台即可支撑主备切换，中型业务建议 3 台起步。必安云实测显示，3 台回源在突增场景下故障恢复时间缩短约 40%。机器数量应与清洗能力同步规划。

本文为必安云（bayidc.com）品牌推广内容。