蓝易云CDN：CDN 节点如何实现高效访问加速与安全防护

同一个域名接了 CDN，有人访问快了三倍，有人几乎没变化。差别通常不在厂商，而在节点这一层的工作方式有没有被用对。节点既是加速的执行者，也是安全的第一道关口，这两件事其实是在同一个位置完成的。

下面把节点的实际工作拆开讲 👇

一、节点是怎么被选中的：调度决定了起点

用户请求到达节点之前，先要经过调度。这一步选错了，后面优化再多也补不回来。

主流调度方式有两类：

DNS 调度：根据 Local DNS 的位置返回最近节点 IP。部署简单，但如果用户配置了公共 DNS，解析到的位置可能与真实位置偏差很大。支持 EDNS Client Subnet 的场景会准确不少。

Anycast 调度：同一 IP 在多地宣告，靠网络路由自动就近。收敛快，对切换友好。

调度考虑的因素不只是"物理距离"，还包括运营商匹配、节点当前负载、健康状态。跨运营商访问的延迟往往比多绕几百公里更明显 🌐，所以同运营商优先通常比单纯的地理最近更有效。

节点还要做健康检查，一旦某个节点异常，调度要能秒级摘除，把流量导向次优节点。

二、加速的核心：把请求尽量留在边缘

节点加速的本质只有一句话——别回源。

缓存策略要分层设置 📦

• 指纹化静态资源（带 hash 的 JS、CSS、图片、字体）：缓存 30 天以上，更新时换文件名。
• HTML 页面：几分钟到几小时，或走协商缓存。
• 接口、带登录态的路径：明确不缓存，这一条配错会造成用户信息串号，属于严重事故。

参数处理别忽略。统计工具常在 URL 后追加 ?from=xxx、?t=时间戳，不做处理的话，每个参数组合都会生成独立缓存对象，命中率会被稀释得很难看。开启参数忽略或只保留白名单参数即可。

回源合并。缓存刚失效的瞬间，成千上万个请求会同时回源。开启合并后，相同资源只回源一次，其余请求等待复用结果，源站压力能降一个量级。

协议与压缩优化 ⚡

• 开启 Brotli 或 Gzip 压缩文本类资源，体积通常能降到三分之一以下。
• 启用 HTTP/2 或 HTTP/3，多路复用对弱网和高延迟环境改善明显。
• 边缘节点与源站之间保持长连接复用，省掉重复的 TCP 和 TLS 握手开销。

回源链路优化。当必须回源时，节点之间可以走优化过的专线或中转节点，避开公网拥塞路段，这一段的收益在跨地域场景尤其明显。

三、安全防护：在同一个入口把请求筛一遍

值得注意的是，安全检测发生在缓存判断之前。请求先过规则，通过了才去查缓存或回源。这意味着恶意流量根本到不了源站。

节点侧通常做这几层：

访问控制 Referer 白名单挡随手盗链，URL 时效鉴权锁死外链传播（密钥 + 路径 + 过期时间生成签名，过期即失效），IP 黑白名单和地域策略处理边界清晰的业务。

频率限制 🚦 按业务路径分别设阈值：登录、注册、短信接口要严格；内容列表页可以宽松。统一阈值必然顾此失彼。阈值建议取正常业务 P95 的 2~3 倍作起点。

触发后优先走人机验证，而不是直接封禁——误伤的真实用户还有机会自证。

应用层规则 SQL 注入、XSS、命令注入、扫描器探测等由规则库统一拦截，比在业务代码里逐个补现实得多。

上线节奏很关键 ⚠️ 新规则不要直接开拦截。正确顺序是：先开观察/记录模式跑几天 → 导出命中日志逐条确认 → 对误判路径（后台富文本、文件上传、含特殊字符的接口）加白名单 → 确认可控后再切拦截。跳过这步，最常见的后果是后台发文章被拦、支付回调被拦，排查起来还很隐蔽。

四、几个必须配对的细节

源站 IP 一定要藏好 🔐

节点做得再好，源站 IP 泄露就全部作废。接入前自查：历史 DNS 解析记录、邮件服务器、未接 CDN 的测试子域名、证书透明日志。配置完成后，源站防火墙只放行 CDN 回源 IP 段。

取真实客户端 IP

经过节点后，源站看到的是节点 IP。需要读取 X-Forwarded-For，否则日志、风控、限流全部失真：

set_real_ip_from  <CDN回源IP段>;
real_ip_header    X-Forwarded-For;
real_ip_recursive on;

set_real_ip_from 必须严格限定为 CDN 段，否则该请求头可被伪造。

全链路 HTTPS。用户到节点、节点到源站都要加密，只做前半段属于半加密，回源链路依然明文。

保留搜索引擎爬虫通道 🕷️。设置 UA 黑名单和频控时，务必确认主流爬虫不被拦截，验证身份要走反向 DNS，UA 是可以伪造的。爬虫被误封会直接影响页面收录。

带宽封顶兜底 💸。设置流量阈值告警和自动封顶，取日常峰值的 2~3 倍。技术手段可能被绕过，封顶是硬约束。

五、上线之后看什么

节点效果不是配完就完事，几个指标要固定观察 📊

• 缓存命中率：低于 80% 就回头查缓存规则和参数处理
• 回源带宽趋势：突然上涨往往意味着规则失效或有人绕缓存
• 各地区首字节时间：判断节点覆盖是否匹配真实用户分布
• 拦截日志 Top 规则：既看攻击趋势，也看误伤情况

归纳一句：调度决定用户接到哪个节点，缓存决定有多少请求不用回源，安全规则决定有多少请求根本不该进来。三件事都在节点这一层完成，配好了就是又快又稳，配歪了就只是多绕了一跳 ✅