CDN 网站管理使用教程

一、新增网站

1.1 新增单个网站

登录后台后，点击左侧 「网站管理」→「我的网站」，然后点击 「新增」 按钮即可打开添加窗口。

1.2 批量添加网站

需要同时添加多个网站时，点击 「新增」 后把数量栏切换到 「批量」 模式即可。

在「数据」栏按以下格式填写，一行一个网站：

二、网站编辑

网站添加完成后，在网站列表点击对应网站即可进入编辑页面。

2.1 HTTP 设置

监听端口默认为 80。如需监听其他端口（如 8080），直接填写，多个端口用空格隔开。

2.2 HTTPS 设置

2.3 源站设置

回源协议

• HTTP — 始终用 HTTP 回源
• HTTPS — 始终用 HTTPS 回源
• 跟随协议 — 用户用什么协议访问，就用什么协议回源

负载方式

有多台源服务器时，可以选择以下负载均衡方式：

源地址与权重

• 源地址 — 可以是 IP 或域名（仅支持一个域名，不能和 IP 混用）
• 权重 — 数值越大，分到的请求越多
• 状态 — 可选「上线」「下线」「备用」

健康检查

多台源服务器时可开启健康检查，系统会自动检测服务器状态，故障时自动下线，恢复后自动上线。

回源端口映射

开启后，回源端口会跟随用户实际访问的端口。比如用户访问 :81 端口，回源也走 81 端口。

2.4 安全配置

CC 防护模式

系统内置了 7 种防护模式，根据你的实际情况选择：

自动提升防护等级

可以根据 QPS（每秒请求数）自动切换防护模式。平时用「宽松模式」，QPS 飙升时自动切换到更强模式，攻击结束后自动恢复。

自定义规则（API 放行）

开启了验证防护后，API 请求会被拦截。这时可以添加自定义规则来放行 API。

规则由 匹配条件 + 执行动作 组成。支持的匹配项：

支持的操作符：等于、不等于、包含、不包含、前缀匹配、后缀匹配、正则匹配。

屏蔽设置

• 屏蔽透明代理 — 屏蔽公开免费的 HTTP 代理访问
• 屏蔽区域 — 可屏蔽境外或境内访问，可选是否包含港澳台

黑白名单

• 爬虫白名单 — 开启后，百度、谷歌等搜索引擎爬虫不受防护影响
• 黑名单 — 支持单个 IP 和 IP 段（掩码 8/16/24）
• 白名单 — 支持单个 IP 和 IP 段（掩码 8/16/24）

2.5 访问控制

• ACL 规则 — 限制特定客户端的访问，需先在「ACL 管理」中创建规则
• 防盗链 — 填入允许的域名，只有这些域名才能引用你的资源

2.6 回源配置

回源域名

默认跟随用户访问的域名，也可以自定义为其他域名。

Range 回源

• 开启 — CDN 只拉取用户请求的那部分文件，适合大文件下载
• 关闭 — CDN 每次都拉取整个文件

2.7 高级配置

压缩设置

开启 Gzip 压缩，减少传输大小，加快页面加载。

WebSocket

如果你的网站用到了即时通讯、实时推送等功能，请开启此选项。

错误页面

支持自定义 404 和 50x 错误页面。

源站请求头

回源时附加自定义请求头。系统默认会传 X-Real-IP（客户端真实 IP）给源服务器。

CDN 响应头

返回内容给用户时，可以增加自定义的响应头。

URL 转向

通过 rewrite 规则实现 URL 跳转：

三、缓存配置

3.1 缓存规则

类型说明：

• 后缀名 — 填 css|js|png，缓存所有这些类型的文件
• 目录 — 填 aa|bb，缓存 /aa/ 和 /bb/ 目录下的所有请求
• 全路径 — 填 /123.css，只缓存这一个文件

3.2 实战案例

案例一：缓存 WordPress 站点（排除已登录用户）

缓存整站，但带有 wordpress_logged_in Cookie 的已登录用户不缓存：

案例二：缓存目录但排除某个文件

缓存 /foo/ 目录，但不缓存其中的 1.html：

四、刷新预热

4.1 刷新缓存

源站内容更新后，通过刷新缓存让 CDN 重新拉取最新内容：

• 支持刷新具体 URL（精确刷新单个文件）
• 支持刷新整个目录（目录下所有缓存都会被清除）

4.2 预热 URL

提前让 CDN 去源站拉取内容并缓存，这样用户第一次访问就能直接命中缓存，加快首次访问速度。

五、CC 防护规则

CC 防护规则由三部分组成：匹配器（谁来了）→ 过滤器（怎么验证）→ 动作（不通过怎么办）。

5.1 匹配器

匹配器用来判断「哪些请求需要被检查」，可以包含多个匹配项，全部满足才生效。

5.2 过滤器

过滤器用来验证请求是否合法，验证失败达到一定次数后执行动作。

URL 鉴权（进阶）

适用于 API 防 CC 攻击，CDN 端定义密钥，客户端用 MD5 签名验证。提供 A 和 B 两种方式。

方式 A：

方式 B：

方式 B 不需要单独传时间戳参数，已包含在签名中。其他配置与方式 A 一致。

5.3 动作

请求无法通过验证时，执行以下动作之一：

5.4 规则组合

一条完整的 CC 规则 = 匹配器 + 过滤器 + 动作。

双过滤器机制：

• 1 个过滤器 — 验证失败直接执行动作
• 2 个过滤器 — 过滤器 1 失败后继续用过滤器 2 验证，两个都失败才执行动作

多条规则组成一个规则组，网站绑定的就是规则组。

六、ACL 访问控制管理

ACL 用于控制客户端的访问权限。与 CC 规则不同，ACL 没有过滤器，匹配后直接「允许」或「拒绝」。

6.1 ACL 规则组

• 默认行为 — 所有规则都没匹配时执行的动作（允许或拒绝）
• 规则列表 — 从上到下逐条匹配，匹配到第一条即停止

6.2 ACL 规则

匹配项和操作符与 CC 规则基本一致，一条规则支持多个匹配项，全部满足才算匹配成功。

七、四层转发

支持 TCP 和 UDP 协议转发，同时支持访问控制和连接数限制。

7.1 新增单个转发

7.2 批量添加转发

格式为 监听端口|IP|回源端口，一行一个：

八、转发编辑

8.1 监听设置

可以随时删除或添加监听端口。

8.2 源站设置

配置方式与「网站编辑 → 源站设置」一致，请参考 2.3 源站设置。

8.3 ACL 访问控制

可以为四层转发单独配置 ACL 访问控制规则。

九、JA4 指纹精准防护 — 多维特征识别重点升级

蓝易云CDN · 重点功能升级

超越 IP 封禁，用 TLS 指纹锁定每一个攻击源

全新升级 JA4 指纹识别引擎，通过 TLS 握手特征精准识别客户端身份，结合 URI 统计、自定义字段统计等多维度分析，实现从「识别设备」到「识别意图」的防护跃迁。WAF 智能语义分析已同步上线，详见第十章。

传统 CC 防护只看 IP 地址，面对现代攻击手法已经力不从心。本次升级引入了 JA4 TLS 指纹识别和多维度精准匹配，让防护真正做到「认人」而非「认地址」。

🔒 TLS 握手采集指纹 → 🧬 JA4 算法生成唯一标识 → 📊 多维统计分析 → 🛡️ 精准拦截/验证/观察

9.1 传统 IP 统计的三大短板

🎭 短板一：IP 太容易伪造 攻击者通过代理池、VPN 等方式可以轻松获取大量 IP，传统 IP 限速形同虚设。

🚫 短板二：容易误伤正常用户 企业、校园网等场景下，大量用户共享同一个 IP，按 IP 限速会误封真实用户。

💸 短板三：绕过成本极低 代理 IP 成本极低，攻击者换一批 IP 就能绕过封禁，防守方永远追不上。

核心问题：IP 只能告诉你「从哪来」，无法告诉你「是谁」。你需要更深层的特征来区分正常用户和攻击者。

9.2 多维特征识别

维度一：JA4 指纹 — 客户端的「数字DNA」

JA4 指纹通过分析 TLS 握手时的特征参数（TLS 版本、密码套件、扩展列表等）生成一段唯一标识。就像每个客户端的「数字 DNA」，即使换了 IP，TLS 指纹通常不会变。

特性	IP 地址	JA4 指纹
身份唯一性	极低（可共享、可伪造）	高（与客户端绑定）
伪造难度	极低（代理/VPN即可）	高（需修改TLS底层库）
NAT 穿透	无法区分 NAT 后用户	可区分不同设备
防护精准度	★★☆☆☆	★★★★★

实时数据面板

▲ JA4 TLS 指纹排行榜 — 快速定位异常指纹

关键价值：通过指纹排行榜，一眼看出哪些指纹请求量异常。无论攻击者怎么换 IP，只要用同一个攻击工具，TLS 指纹就不会变。

维度二：URI 统计 — 精确到接口级防护

按具体路径/接口设置不同防护策略。比如对 /api/login 严格限制，对 /static/ 放宽限制。

维度三：自定义字段统计

对请求中的特定字段进行统计分析，构建贴合业务的防护规则：

Query Key 统计 统计 URL 参数（如 user_id、phone）的请求频率，防止撞库、短信轰炸等攻击。

Header Key 统计 统计自定义 Header 字段，识别缺少正确 Header 的自动化工具。

Cookie Key 统计 基于 Cookie 中的会话标识进行频率控制，防止单会话滥用。

独立 TLS 指纹数量统计 统计同一 IP 的不同指纹数量。正常用户通常只有 1-2 种，超过 3 种很可能是代理池攻击。

9.3 精准匹配配置

在 CC 防护的自定义规则中，新增了两种匹配项：

匹配项一：TLS 指纹

直接匹配客户端的 JA4 指纹值，精确识别和拦截已知恶意客户端。

配置项	说明
匹配项	TLS 指纹
操作符	等于、不等于、包含、不包含、前缀匹配、后缀匹配、正则匹配等
匹配值	JA4 指纹字符串（从排行榜或日志中复制）
执行动作	拦截 / 观察 / 验证

规则配置面板

▲ 自定义 TLS 指纹匹配规则配置界面

操作步骤：① 在指纹排行榜找到异常指纹 → ② 复制指纹字符串 → ③ 新增规则，匹配项选「TLS 指纹」，操作符选「等于」，粘贴指纹值 → ④ 动作选「拦截」。无论攻击者换多少 IP，用同一工具就会被拦截。

匹配项二：独立 TLS 指纹数量

统计某个 IP 在指定时间内出现的不同指纹数量，用于检测代理池攻击。

配置项	说明
匹配项	独立 TLS 指纹数量
统计秒数	时间窗口，如 300 表示统计最近 5 分钟
操作符	大于
匹配值	阈值，如 3 表示超过 3 个不同指纹时触发
执行动作	拦截 / 观察 / 验证

实战案例：设置「300 秒内独立指纹大于 3 个则拦截」。正常用户通常只有 1 个指纹，一个 IP 出现 3 个以上不同指纹，就是典型的代理池/攻击工具特征。

9.4 组合策略实战

单一维度总有盲区，多维度组合才能形成立体防御：

🔍 策略一：JA4 + URI 组合 先通过指纹识别异常客户端，再结合 URI 统计判断是否在扫描关键接口，两个条件同时满足才拦截，降低误伤。

🔗 策略二：多参数关联统计 同时统计 user_id 和 phone 参数频率，异常高频时触发防护，精准拦截撞库和短信轰炸。

📈 策略三：渐进式挑战 先观察记录，再逐步升级为验证和拦截，避免一步到位带来的误伤风险。

与传统 IP 统计的对比

对比维度	传统 IP 统计	JA4 多维特征识别
识别精度	低 — 仅网络层	高 — 应用层+协议层
NAT 场景	大面积误封	精准区分不同客户端
代理池攻击	无法有效防御	指纹锁定，IP 无关
攻击绕过成本	极低（换 IP 即可）	极高（需重写 TLS 实现）
综合防护效果	★★☆☆☆	★★★★★

9.5 部署建议

建议按以下三个阶段逐步部署，避免一步到位带来误拦截：

阶段一：监控观察（1-2 周）

所有新规则设为「观察」模式，只记录日志不拦截，收集正常用户的指纹分布和请求频率基线。

阶段二：精细化配置

根据观察数据，逐步将规则切换为「验证」或「拦截」。优先处理最明显的异常（如单一指纹占攻击流量 80% 以上），同时建立正常客户端指纹白名单。

阶段三：持续优化

定期更新指纹黑名单，调整时间窗口和阈值。建议结合 CC 双过滤器机制，JA4 指纹作为第一道过滤，传统验证作为兜底。

重要提示：JA4 指纹防护需要你的域名已开启 HTTPS。如果还没配置，请先参考 2.2 HTTPS 设置。

✅ NOW AVAILABLE

WAF 应用防火墙智能语义分析 — 已上线

WAF 智能语义分析现已正式上线，通过理解请求内容语义来拦截 SQL 注入、XSS、命令注入等攻击，与 JA4 指纹形成「协议层 + 应用层」全栈防护。配置方法见 第十章：WAF 智能语义防护。