蓝易云CDN：精细化边缘防护，CDN域名防恶意刷量实战指南

做站的人多半有过这种经历：早上打开控制台，昨天的流量曲线突然拱起一个陡峰，几百G带宽不知去向，账单却是实打实的。刷量这件事,不一定是黑客,可能只是同行的爬虫、被盗链的图床、或者某个写错循环的脚本。边缘节点离用户最近,拦截成本最低,防护动作放在CDN这一层才划算。

下面按实际排查和加固的顺序来讲 👇

一、先定性：到底是谁在刷

不看日志就开防护,基本等于蒙眼开枪。拿到CDN访问日志后,优先看四个维度：

• Referer 分布：如果大量请求 Referer 指向陌生域名,是典型盗链。
• URL 集中度：单个大文件(视频、安装包、图片原图)占了七八成流量,说明资源被外链了。
• IP 与 UA 特征：同一 C 段密集请求、UA 为空或伪造成 python-requests、curl,是脚本行为。
• 时间节奏：真人访问有波动,机器请求间隔往往整齐得反常。

命令行快速统计一下就有结论：

awk '{print $11}' access.log | sort | uniq -c | sort -rn | head -20

分不清是真实增长还是恶意流量之前,不要急着上严格规则,误伤正常用户比刷量更麻烦。⚠️

二、防盗链：成本最低的第一道闸

Referer 黑白名单是绝大多数刷量的克星。在CDN控制台把自己的主域名、子域名加进白名单,同时决定是否允许空 Referer。

这里有个容易踩的坑：直接打开图片地址、部分浏览器隐私模式、App 内 WebView 的请求都可能不带 Referer。如果站点有 App 端或需要用户另存图片,一刀切禁掉空 Referer 会引发大面积报错。稳妥做法是先允许空 Referer 观察一周,再根据日志决定收紧。

Referer 能被伪造,所以它只是门槛,不是锁 🔐。

三、URL 鉴权：给每个链接加有效期

真正能锁死盗链的是时间戳防盗链。原理不复杂：服务端用密钥 + 资源路径 + 过期时间做一次 MD5,拼在URL上,边缘节点校验通过才放行,过期即失效。

典型形态：

https://cdn.example.com/video/1.mp4?auth_key=1712345678-0-0-9f8c...

配置要点有三条：

1. 有效期别设太长。视频类给 30 分钟到 2 小时,足够播完又不至于被长期转发。
2. 密钥不能出现在前端代码里。签名必须在后端生成,写进 JS 就等于公开。
3. 配合主备密钥轮换。换密钥时先启用备用KEY,平滑过渡,避免线上链接批量失效。

鉴权 + Referer 双开,能把外链盗刷压到很低的水平。

四、频率控制与 IP 限速

针对CC类刷量,在边缘做三层限制：

• 单IP QPS 限制：比如单IP每秒超过 20 次请求即挑战或封禁。
• 单IP下载限速：大文件场景限制单连接速率,让刷量成本变高。
• 访问次数封顶：单IP每分钟对同一URL的访问上限。

阈值不要拍脑袋。先看正常业务的 P95 请求频率,在此基础上留 2~3 倍余量。图片站和 API 站的合理值差得很远,直接抄别人的配置往往误伤真人。

如果源站也需要兜底,Nginx 层可以补一条：

limit_req_zone $binary_remote_addr zone=req_limit:10m rate=10r/s;
limit_req zone=req_limit burst=20 nodelay;

五、UA 与地域策略

UA 黑名单适合拦截明目张胆的工具类请求,把空UA、常见脚本库UA、已知恶意爬虫加进去即可。但要保留搜索引擎爬虫——误封 Baiduspider、Googlebot 会直接影响收录,封之前务必做反向DNS验证,因为UA同样可以伪造。

地域封禁则适用于业务边界清晰的站点。纯国内业务遇到大量境外IP刷量,直接按地区拦截效率极高;但涉及出海、跨境电商的站点慎用 🌍。

六、带宽封顶：给钱包上保险

这是很多人忽略但最该配的一项。在CDN侧设置带宽上限或流量阈值告警,超出后自动降速、暂停服务或触发短信通知。

刷量的实际伤害不在于服务挂了,而在于无人值守的深夜里流量默默跑成天价账单 💸。把封顶值设成日常峰值的 2~3 倍,再绑上告警,最坏情况也可控。

七、缓存与回源保护

刷量真正拖垮的往往是源站。几个动作值得做：

• 提高缓存命中率：静态资源设置合理的 Cache-Control,让边缘节点扛住绝大部分请求。
• 忽略无意义参数：攻击者常在URL后追加随机参数(?t=随机数)绕过缓存打到源站,开启参数忽略可以化解。
• 回源限速与回源IP白名单：源站防火墙只放行CDN回源IP段,避免源站IP暴露后被直接打。
• 源站IP务必隐藏:历史解析记录、邮件服务、子域名泄露都可能暴露真实IP,接CDN前先自查一遍。

八、上线之后要持续做的事

防护不是配一次就完事的配置项,而是需要观察的过程 📊。

建议每周固定看一次流量构成:命中率是否下降、Top URL 有没有异常、被拦截请求数的变化趋势。规则调整后,先用观察模式/仅记录跑几天,确认误伤可控再切成拦截模式。真出问题时,能快速回滚的配置永远比"最严格"的配置更有价值。

一句话总结：Referer 挡住随手盗链,URL 鉴权锁死外链传播,频率限制压制脚本,带宽封顶守住底线,回源保护和缓存优化保住源站。五层叠起来,刷量的成本远高于收益,对方自然就走了。✅