CDN 网站管理使用教程

一、新增网站

1.1 新增单个网站

以普通用户身份登录后台后，按照以下步骤操作：

• 点击左侧菜单 「网站管理」→「我的网站」，进入网站列表页面
• 点击工具栏上的 「新增」 按钮，弹出添加网站窗口

1.2 批量添加网站

如果你有多个网站需要同时添加，可以使用批量添加功能。同样进入 「网站管理」→「我的网站」，点击 「新增」 按钮后，在弹出窗口中将 数量栏切换到「批量」 模式。

批量模式下，在「数据」栏中按固定格式填写，一行一个网站：

二、网站编辑

网站添加完成后，你可以在网站列表点击对应网站进入编辑页面，对各项配置进行详细设置。

2.1 HTTP 设置

监听端口默认为 80。如果你需要监听其他端口（如 8080），直接填写即可。多个端口用 空格 分隔。

2.2 HTTPS 设置

2.3 源站设置

回源协议

可选三种方式：

• HTTP — 始终以 HTTP 协议回源
• HTTPS — 始终以 HTTPS 协议回源
• 跟随协议 — 用户访问 HTTP 就用 HTTP 回源，访问 HTTPS 就用 HTTPS 回源

负载方式

当你有多台源服务器时，可以选择以下负载均衡策略：

源地址与权重

• 源地址可以是 IP 或域名，但仅支持一个域名，且域名不能与 IP 混合使用
• 权重 — 数值越大，分配到的请求越多
• 状态 — 可选「上线」「下线」「备用」

健康检查

当你设置了多台源服务器时，可以开启健康检查功能，系统会定时检测后端服务器状态，自动上线或下线故障服务器。

回源端口映射

开启后，回源端口会跟随用户实际访问的端口。例如：

• 访问 http://www.abc.com:81/ → 回源端口 81，协议 HTTP
• 访问 http://www.abc.com:82/ → 回源端口 82，协议 HTTP
• 访问 https://www.abc.com:91/ → 回源端口 91，协议 HTTPS
• 访问 https://www.abc.com:92/ → 回源端口 92，协议 HTTPS

2.4 安全配置

CC 防护 — 默认防护模式

系统内置了 7 种防护模式，你可以根据当前网站状态选择合适的模式：

自动提升防护等级

可以根据网站的 QPS（每秒请求数）来 动态切换 防护规则。平时使用「宽松模式」不影响用户体验，当 QPS 突然飙升（可能正在被攻击），系统自动切换到更强的防护规则，攻击结束后自动恢复。

自定义规则（API 放行）

当你开启了浏览器识别、滑块验证等防护时，直接调用 API 会被拦截。这时可以通过添加自定义规则来放行 API 请求。

自定义规则由两部分组成：匹配条件（匹配项 + 操作符 + 匹配值）和 执行过滤（条件成立时执行的动作）。

支持的匹配项：

支持的操作符：

屏蔽设置

• 屏蔽透明代理 — 屏蔽那些公开免费的 HTTP 代理访问
• 屏蔽区域 — 可选择屏蔽境外或境内访问，还可以决定是否包含港澳台地区

黑白名单

• 爬虫白名单 — 开启后，百度、谷歌等搜索引擎爬虫在防 CC 模式下仍然可以正常抓取你的网站
• 黑名单 — 支持单个 IP 以及掩码为 8、16、24 的 IP 段
• 白名单 — 支持单个 IP 以及掩码为 8、16、24 的 IP 段

2.5 访问控制

• ACL 规则 — 用来限制特定客户端的访问（如根据 IP、用户代理等）。ACL 规则需要提前在「ACL 管理」中创建好才能使用
• 防盗链 — 在「允许的域名」中填入域名后，只允许这些域名引用你网站的资源。还可以选择是否允许空来源（即直接访问）

2.6 回源配置

回源域名

默认为用户访问的域名。例如用户通过 www.example.com 访问，回源时也使用同一域名。你也可以自定义为其他域名。

Range 回源

• 开启时 — CDN 只拉取用户请求的那部分文件进行缓存和返回，适合大文件分发，能有效提高效率、降低源站压力
• 关闭时 — 即使用户只请求一部分，CDN 也会回源拉取整个文件

2.7 高级配置

压缩设置

可以开启或关闭 Gzip 压缩，并自定义需要压缩的文件类型，减少传输大小、加快加载速度。

WebSocket 配置

开启后，CDN 就可以代理 WebSocket 请求了。如果你的网站用到了即时通讯、实时推送等功能，请开启此选项。

错误页面配置

支持自定义 404（页面未找到）和 50x（服务器错误）页面，让错误页面更符合你的品牌风格。

源站请求头

在回源时附加自定义的请求头。系统默认会传 X-Real-IP 头（值为客户端真实 IP）给源服务器。你也可以添加其他自定义请求头：

CDN 响应头

在返回内容给用户时，可以增加一个自定义的响应头。

URL 转向

使用 Nginx 的 rewrite 模块实现 URL 跳转：

三、缓存配置

3.1 缓存规则说明

类型详解：

• 后缀名 — 填写 css|js|png，表示缓存所有 .css、.js、.png 文件
• 目录 — 填写 aa|bb，表示缓存 /aa/ 和 /bb/ 目录下的所有请求
• 全路径 — 填写 /123.css，表示只缓存这一个文件

3.2 实战案例

案例一：缓存整个 WordPress 站点（排除已登录用户）

缓存整个网站，但对带有 wordpress_logged_in Cookie 的已登录用户请求不缓存：

案例二：缓存整个目录，但排除某个文件

例如缓存整个 /foo/ 目录，但不缓存其中的 1.html 文件：

四、刷新预热

4.1 刷新缓存

当你的源站内容更新后，可以通过刷新缓存让 CDN 重新拉取最新内容：

• 支持刷新 具体的 URL（精确刷新单个文件）
• 支持刷新 整个目录（目录下所有文件缓存都会被清除）

4.2 预热 URL

为了提高首次访问速度和缓存命中率，你可以在用户访问之前提前预热资源。CDN 会主动去源站拉取内容并缓存，这样第一个用户访问时就能直接命中缓存。

五、CC 防护规则

CC 防护规则由三部分组成：匹配器 → 过滤器 → 动作。

简单理解就是：谁来了（匹配器判断）→ 怎么验证（过滤器检查）→ 不通过怎么办（执行动作）。

5.1 匹配器

匹配器用来判断「哪些请求需要被检查」。一个匹配器可以包含多个匹配项，所有匹配项都满足时，匹配器才生效。

匹配项包括：IP地址、域名、请求URI、请求URI（不带参数）、请求方法、浏览器UA、请求来源、国家代码。

操作符包括：等于、不等于、包含、不包含、前缀匹配、后缀匹配、正则匹配（用法与安全配置中的自定义规则一致）。

5.2 过滤器

过滤器用来验证请求是否合法，验证失败达到一定次数后执行动作。

URL 鉴权（进阶）

URL 鉴权适用于 API 防 CC 攻击。CDN 端定义密钥，客户端对 URI、时间戳、随机数、密钥进行 MD5 计算并传给 CDN 验证。提供 A 和 B 两种鉴权方式。

方式 A：

方式 B：

方式 B 不需要单独传时间戳参数，因为已包含在签名中。其他配置与方式 A 一致。

5.3 动作

当请求无法通过过滤器验证时，系统会执行以下动作之一：

5.4 规则组合

一条完整的 CC 规则 = 匹配器 + 过滤器 + 动作。

关于双过滤器机制：

• 指定 1 个过滤器时 — 过滤器验证失败 → 立即执行动作
• 指定 2 个过滤器时 — 过滤器 1 失败后不会立即执行动作，而是继续用过滤器 2 验证。两个都失败才执行动作

多条规则组成一个规则组，网站绑定的就是规则组。

六、ACL 访问控制管理

ACL（访问控制列表）用于控制客户端的访问权限。与 CC 规则不同，ACL 没有过滤器，匹配后直接执行「允许」或「拒绝」。

6.1 ACL 规则组

• 默认行为 — 可选「允许」或「拒绝」，当所有规则都没有匹配时执行默认行为
• 规则列表 — 按从上到下的顺序逐条匹配，匹配到第一条即停止

6.2 ACL 规则

ACL 规则的匹配项和操作符与 CC 规则基本一致（参考第五章的说明）。一条规则支持设置多个匹配项，所有匹配项全部满足时，这条规则才算匹配成功。

七、四层转发

四层转发支持 TCP 和 UDP 协议的转发，同时支持访问控制和连接数限制。

7.1 新增单个转发

7.2 批量添加转发

格式为 监听端口|IP|回源端口，一行一个：

八、转发编辑

8.1 监听设置

可以随时删除或添加监听端口。

8.2 源站设置

配置方式与「网站编辑 → 源站设置」一致，请参考 2.3 源站设置。

8.3 ACL 访问控制

可以为四层转发单独配置 ACL 访问控制规则。

九、JA4 指纹精准防护 — 多维特征识别重点升级

蓝易云CDN · 重点功能升级

超越 IP 封禁,用 TLS 指纹锁定每一个攻击源

蓝易云CDN全新升级 JA4 指纹识别引擎，通过 TLS 握手特征精准识别客户端身份，结合 URI 统计、自定义字段统计等多维度分析能力，实现从「识别设备」到「识别意图」的防护跃迁。下个版本将继续升级 WAF 应用防火墙智能语义分析，敬请期待。

传统 CC 防护方案高度依赖 IP 地址作为唯一识别维度，在面对现代化攻击手法时暴露出明显短板。本次升级引入了 JA4 TLS 指纹识别以及多维度精准匹配能力，让你的防护策略真正做到「认人」而非「认地址」。

🔒 TLS 握手采集指纹 → 🧬 JA4 算法生成唯一标识 → 📊 多维统计分析 → 🛡️ 精准拦截/验证/观察

9.1 传统 IP 统计的三大致命短板

在深入了解新功能之前，我们先认识一下为什么仅靠 IP 统计已经远远不够：

🎭 短板一：易伪造性 攻击者通过代理池、VPN、云函数等方式可以轻松获取海量 IP 地址，传统 IP 限速形同虚设。一个攻击者可以同时使用上万个不同 IP 发起请求。

🚫 短板二：误伤率高 企业出口 NAT、校园网、运营商 CGNAT 等场景下，成百上千的正常用户共享同一个公网 IP。按 IP 限速会导致大面积误封真实用户。

💸 短板三：绕过成本低 代理 IP 成本极低（每千个 IP 不到几元），攻击者只需更换 IP 池即可绕过封禁。防守方的封禁名单永远追不上攻击方的 IP 更换速度。

核心问题：IP 地址只能告诉你「从哪里来」，但无法告诉你「是谁」以及「想做什么」。你需要更深层次的特征来区分正常用户和攻击者。

9.2 新维度深度解析：从「识别设备」到「识别意图」

维度一：JA4 指纹统计 — 客户端的「数字DNA」

JA4 指纹是通过分析客户端在 TLS 握手阶段发送的 Client Hello 报文中的特征参数（包括 TLS 版本、密码套件列表、扩展列表、签名算法、支持的组等）生成的一段唯一标识字符串。它就像每个客户端的「数字 DNA」，即使更换了 IP 地址，其 TLS 握手特征通常保持不变。

特性	IP 地址	JA4 指纹
身份唯一性	极低（可共享、可伪造）	高（与客户端 TLS 实现绑定）
伪造难度	极低（代理/VPN即可）	高（需修改 TLS 底层库实现）
NAT 穿透	无法区分 NAT 后用户	可区分不同设备和软件
识别维度	网络层（从哪来）	应用层（是什么程序）
防护精准度	★★☆☆☆	★★★★★

实时数据面板

▲ JA4 TLS 指纹排行榜 — 实时统计各客户端指纹分布，快速定位异常指纹

关键价值：通过 TLS 指纹排行榜，你可以一眼看出哪些指纹占据了最多的请求量。如果某个指纹的请求量远超其他指纹，且不属于主流浏览器的已知指纹，那它极有可能就是攻击工具的特征标识。无论攻击者怎么换 IP，只要使用的攻击脚本/工具不变，其 TLS 指纹就不会变。

维度二：URI 统计 — 精确到接口级的防护

传统防护只统计整个域名维度的请求频率，无法区分 /api/login 和 /static/image.png 的差异。URI 统计允许你按具体路径/接口设置不同的防护策略，对高价值接口（登录、支付、数据查询）实施更严格的频率限制，对静态资源路径放宽限制。

维度三：自定义字段统计 — 基于业务逻辑的智能防护

通过对请求中的特定字段进行统计分析，你可以构建贴合自身业务逻辑的防护规则：

Query Key 统计：保护核心参数 针对 URL 参数中的关键字段（如 user_id、token、phone）进行频率统计。当同一参数值在短时间内出现异常高频请求时触发防护，有效防止撞库、短信轰炸等定向攻击。

Header Key 统计：识别自动化工具 统计自定义 Header 字段（如 X-App-Version、X-Device-ID），识别缺少正确 Header 或 Header 值异常的请求，精准拦截脚本和自动化工具的攻击流量。

Cookie Key 统计：会话级频率控制 基于 Cookie 中的会话标识（如 session_id）进行频率统计，实现单会话维度的限速控制，避免同一会话被滥用进行高频请求。

独立 TLS 指纹数量统计 统计同一 IP 在指定时间窗口内出现的独立 JA4 指纹数量。正常用户通常只有 1-2 种指纹，如果一个 IP 在 300 秒内出现 3 个以上不同指纹，极有可能是代理池攻击。

9.3 精准匹配配置指南

蓝易云 CDN 新增了基于 TLS 指纹的精准匹配规则，你可以在 CC 防护的自定义规则中使用以下两种新匹配项：

匹配项一：TLS 指纹

直接匹配客户端的 JA4 指纹值，适用于精确识别和拦截已知恶意客户端。

配置项	说明
匹配项	TLS 指纹
操作符	等于、不等于、包含、不包含、前缀匹配、后缀匹配、正则匹配、正则不匹配、存在、不存在、在IP段、不在IP段
匹配值	填写具体的 JA4 指纹字符串（可从 TLS 指纹排行榜或攻击日志中提取）
执行动作	拦截 / 观察 / 验证

规则配置面板

▲ 自定义 TLS 指纹匹配规则 — 从排行榜复制指纹值，配置匹配操作符与执行动作

操作步骤：① 进入 TLS 指纹排行榜，找到异常高频的指纹值 → ② 复制该指纹字符串 → ③ 在自定义规则中新增一条规则，匹配项选「TLS 指纹」，操作符选「等于」，粘贴指纹值 → ④ 执行动作选「拦截」。完成后，无论攻击者更换多少个 IP 地址，只要使用相同的攻击工具，都会被精准拦截。

常用操作符场景：

• 等于 — 精确拦截某个已知恶意指纹
• 不等于 — 仅放行指定指纹的客户端（白名单模式）
• 包含 / 前缀匹配 — 匹配同一工具家族的多个变体指纹
• 正则匹配 — 使用正则表达式进行复杂的模式匹配
• 存在 / 不存在 — 判断请求是否携带 TLS 指纹信息（某些非标准客户端可能缺失）

匹配项二：独立 TLS 指纹数量

统计某个 IP 在指定时间窗口内出现的不同 JA4 指纹数量，适用于检测代理池和攻击工具轮换行为。

配置项	说明
匹配项	独立 TLS 指纹数量
统计秒数	时间窗口，例如填 300 表示统计最近 300 秒内的数据
操作符	大于
匹配值	独立指纹数量阈值，例如填 3 表示超过 3 个不同指纹时触发
执行动作	拦截 / 观察 / 验证

实战案例：设置「独立 TLS 指纹数量，300 秒内大于 3 个，执行拦截」。正常用户的浏览器 TLS 指纹是固定的，300 秒内通常只有 1 个指纹。如果某个 IP 出现了 3 个以上不同指纹，说明该 IP 背后有多个不同的客户端程序在发请求——这是典型的代理池/攻击工具特征。

9.4 多维组合策略：构建立体防御体系

单一维度的防护总有盲区，多维度组合才能形成真正的立体防御。以下是三种经过实战验证的组合策略：

🔍 策略一：JA4 + URI 组合 应对高级爬虫。先通过 JA4 指纹识别出非浏览器的异常客户端，再结合 URI 统计判断是否在集中扫描关键接口。两个条件同时满足才触发拦截，大幅降低误伤率。

🔗 策略二：多 Query Key 关联统计 应对业务逻辑攻击。例如同时统计 user_id 和 phone 参数的请求频率，当同一参数值在短时间内出现异常高频请求时触发防护，精准拦截撞库和短信轰炸。

📈 策略三：渐进式挑战策略 先用观察模式记录 JA4 指纹分布，当指纹异常时启动 JS 验证挑战，仍然无法通过则升级为滑块验证，最终封禁。逐步升级防护强度，在安全和用户体验之间取得平衡。

与传统 IP 统计的性能对比

对比维度	传统 IP 统计	JA4 多维特征识别
识别精度	低 — 仅网络层	高 — 应用层+协议层
NAT 场景	大面积误封	精准区分不同客户端
代理池攻击	无法有效防御	指纹锁定，IP 无关
攻击绕过成本	极低（换 IP 即可）	极高（需重写 TLS 实现）
误伤率	高	极低
综合防护效果	★★☆☆☆	★★★★★

9.5 实战部署建议

JA4 指纹防护功能上线后，建议按照以下三个阶段逐步推进部署，避免一步到位带来的规则冲突或误拦截风险：

阶段一：监控观察期（1-2 周）

将新规则的执行动作全部设为「观察」模式。在此期间，系统会记录所有触发规则的请求日志，但不会实际拦截。你可以通过日志分析正常用户的 TLS 指纹分布、各接口的请求频率基线，为后续精细化配置提供数据基础。

阶段二：精细化配置期

根据观察期收集的数据，逐步将规则从「观察」切换为「验证」或「拦截」。优先处理最明显的异常模式（如单一 JA4 指纹占攻击流量 80% 以上的情况），配置精准拦截规则。同时建立正常客户端的 TLS 指纹白名单，确保主流浏览器和合法爬虫不受影响。

阶段三：持续优化期

持续关注攻击日志的变化趋势，定期更新指纹黑名单，调整统计时间窗口和阈值参数。建议结合 CC 防护规则的双过滤器机制（第五章 5.4 节），将 JA4 指纹检测作为第一道过滤器，传统验证方式作为兜底，实现多层立体防御。

重要提示：JA4 指纹防护功能需要你的域名已开启 HTTPS（TLS 握手是指纹采集的前提）。如果你的网站尚未配置 HTTPS，请先参考 2.2 HTTPS 设置 完成证书配置。

🚀 NEXT VERSION PREVIEW

下个版本预告：WAF 应用防火墙智能语义分析

下个版本将继续升级 WAF 应用防火墙智能语义分析能力，通过深度理解请求内容语义来拦截 SQL 注入、XSS 跨站脚本、命令注入等应用层攻击，与 JA4 指纹识别形成「协议层 + 应用层」的全栈防护体系。敬请关注蓝易云更新动态。