去年双十一期间，某头部电商平台遭遇峰值1.2Tbps的混合攻击，其业务并未出现明显中断。他们并未购买天文数字的带宽，也不是将流量黑洞策略一挂了之，核心秘密在于对高防CDN架构进行了纵深改造：将DDoS清洗与CC攻击防御在边缘节点、中心集群和源站三道防线上进行了解耦与联动。本文将拆解这套体系的设计逻辑，重点探讨在百G乃至T级重压之下，如何通过流量模型分析与协议指纹技术保持业务连续性。
三层防御体系：从边缘到源站的协同设计
传统高防CDN常常被简化成“大带宽硬抗”，但真实场景中攻击流量是多样化的：SYN Flood、ACK Flood、DNS反射放大、HTTP慢速攻击、应用层CC等会混合出现，单纯的带宽对抗极易触顶，并掩盖应用层异常。因此，一个有效的高防CDN必须构建三层递进式清洗架构：边缘节点负责流量牵引与初步过滤，中心化清洗集群进行深度检测，源站侧设置最后一道弹性水位。边缘节点因数量多、靠近用户，首当其冲承担大容量DDoS的引流——通过BGP Anycast或DNS调度将攻击流量分散到数百个边缘PoP。此时不进行复杂的七层检测，而是通过硬件ACL、包限速（PPS限制）和IP信誉库快速丢弃畸形包和已知僵尸网络流量，将攻击总量大幅削减。例如，对非业务端口的UDP floods直接进行黑洞路由，这一步能砍掉60%以上的无效流量。
中心清洗集群：基于业务画像的智能检测
经过边缘过滤后的“灰色流量”被IP隧道（如GRE或VXLAN）牵引到中心清洗集群。这里部署了更复杂的检测模型：不只是传统的阈值告警，而是运行实时流量基线学习。系统会为被防护域名的正常时段建立多维特征模型——包括每秒请求数(QPS)、平均包长、TCP握手成功率、TLS指纹分布、HTTP请求方法比例、URL深度分布等。当实际流量偏离基线超过动态阈值时触发深度清洗。针对TCP协议攻击，使用SYN Cookie与首个包丢弃策略，逼迫真实客户端完成三次握手，而伪造源IP的攻击流量就会在握手中断中被清洗；对于DNS反射，则通过匹配请求事务ID和源端口来丢弃未请求的应答。更隐蔽的慢速攻击如Slowloris，则通过统计连接持续时间、请求间隔和最小传输速率，当连接长时间只发header或极低速发body时强制关闭。
在此基础上引入协议指纹技术。合法的浏览器和APP客户端在TLS握手、HTTP/2帧设置、Header顺序上均会留下特定的指纹。高防CDN在中心节点可以提取Client Hello中的密码套件、扩展类型、椭圆曲线参数来构建JA3/JA4指纹库，将不符合主流客户端特征的流量标记为高风险。对于疑似CC攻击的HTTP flood，不再简单依赖统计QPS，而是计算每位用户（基于cookie或设备指纹）访问的路径跳转图、会话中的资源加载顺序——正常用户会先请求HTML，然后并行加载CSS、JS、图片，而CC攻击脚本往往直接暴力请求某个URL，资源请求序列完全失真。通过状态机匹配，高防CDN可以准确识别并挑战这些异常行为，例如弹出JS计算挑战或验证码，而对正常用户几乎无感知。
应用层CC防御的联合决策引擎
单纯的第四层清洗无法彻底解决CC攻击，因为CC攻击往往表现为大量的HTTP请求，其TCP握手和TLS握手完全合法，甚至使用真实的浏览器环境。这时高防CDN需要将七层防御组件前置并与中心清洗集群联动。联动点在于：清洗集群检测到某个源IP或会话的可疑度评分升高时，不是直接阻断，而是给应用防火墙（WAF）模块下一个标签，要求对该会话的后续HTTP请求进行增强级别的语义分析。例如，攻击者使用headless浏览器集群发起CC攻击，其指纹可能接近正常Chrome，但行为模式会暴露：请求间隔均匀、秒级内只访问少数几个动态URL、缺少鼠标移动、滚动等biometric信号。高防CDN的边缘节点可以注入JavaScript挑战，收集用户环境的渲染引擎属性、GPU信息、屏幕分辨率与色深等，通过比对已知的自动化工具特征，区分真人与傀儡机。
更进一步的联合防御是“主动清洗”机制：当某域名的CC攻击上升到清洗集群处理能力的临界点时，中心决策引擎会通知边缘调度系统，将该域名的部分流量切换至更高防护等级的节点，或者引导流量经过云清洗中心进行流量代换——即将攻击流量与业务流量分流，正常请求被转成与源站预先约定好的私有协议回源，攻击流量则在边缘耗尽。这种做法对直播、API服务等时延敏感业务至关重要。
源站隐身与弹性扩展
高防CDN最后的价值在于保护源站真实IP不暴露。除了一般的CNAME隐藏外，更严格的方案是使用全流量转发专线：高防节点到源站之间不使用公网IP，而是通过物理专线或私有骨干网回源，并在回源请求中携带定制化的Token进行身份鉴别，非经高防节点的请求源站一律丢弃。同时，源站自身应具备按需弹性扩展的能力，与CDN配合形成“防护负荷分担”：平时高防节点承担全部流量，当节点清洗压力过大或检测到零日攻击时，部分清洗后的干净流量可以被调度到源站前端的备用清洗资源，实现动态扩容。记录每个攻击事件的特征并回灌到IP信誉库与行为模型，形成正向循环，让下一次防御更快、更准。
高防CDN不是一堵更厚的墙，而是一张具备感知能力的神经系统。当DDoS清洗与CC防御在同一个策略平面上协同，才能真正对抗复合型攻击，确保业务在最恶劣的流量环境下依然无损运行。
