高防CDN的宣传页通常写着"防御峰值100G""T级清洗能力""AI无感拦截"。这些数字和描述是否真实，只有通过压测才能验证。但压测不是简单地"打一波流量看能不能扛住"，而是需要分维度、有方法地验证每个环节的能力。
本文拆解高防CDN压测的四个维度，给出可执行的验证方法。
一、流量层压测：验证清洗带宽的真实容量
流量层压测的目标是验证清洗中心的实际吞吐能力。测试方式是从多个源向目标IP发送大流量，观察清洗中心能否稳定接收和过滤。
压测时需要关注三个指标。第一，峰值带宽。 清洗中心能够接收的最大带宽是多少？是否与宣传的防御峰值一致？第二，清洗后的回源带宽。 攻击流量被过滤后，回源到源站的带宽是多少？如果回源带宽没有显著下降，说明清洗策略可能没有生效。第三，正常业务的可用性。 在压测期间，正常用户的访问是否受到影响？延迟是否稳定？
压测流量应当覆盖不同类型的攻击向量——UDP Flood、SYN Flood、ACK Flood、DNS放大等，因为不同攻击类型对清洗设备的压力维度不同。PPS和带宽是两个独立的容量维度，只测带宽不测PPS，或者只测一种攻击类型，无法全面验证清洗能力。
二、连接层压测：验证并发连接的处理能力
连接层压测的目标是验证清洗中心在高并发连接场景下的处理能力。测试方式是发起大量并发TCP连接，观察清洗中心的连接建立成功率、连接保持时间和连接表容量。
连接层压测需要关注的指标包括：每秒新建连接数（CPS）——清洗中心每秒能处理多少个新建连接请求；最大并发连接数——清洗中心能同时保持多少个活动连接；连接建立延迟——在高压场景下，连接建立的时间是否稳定。
对于WebSocket长连接业务，连接层压测还需要验证连接迁移能力——当某个边缘节点被打满时，已有连接能否平滑迁移到其他节点，迁移过程中是否掉线。长连接业务的连接迁移能力直接决定了节点故障时玩家的实际体验。
三、应用层压测：验证CC防护和WAF的拦截精度
应用层压测的目标是验证七层防护的拦截率和误封率。测试方式是模拟CC攻击和Web攻击流量，观察清洗中心的拦截效果。
CC攻击压测需要模拟多种攻击模式：高频单IP请求、慢速分布式请求、代理IP池请求。测试时观察拦截率（多少恶意请求被拦截）和误封率（多少正常请求被误伤）。误封率是比拦截率更关键的指标——一个被误封的真实用户就是一次真实的业务损失。
WAF压测需要模拟常见的Web攻击载荷：SQL注入、XSS、命令注入、文件包含。测试时观察清洗中心是否能够识别这些攻击，以及是否对变形、编码混淆的攻击载荷仍有识别能力。应用层压测不仅验证规则匹配能力，还要验证行为分析的准确性——规则匹配可以拦截已知攻击，行为分析才能识别未知攻击模式。
四、回源链路压测：验证源站的实际承受能力
回源链路压测的目标是验证在攻击期间源站承受的实际压力。测试方式是模拟攻击流量，同时发起正常用户请求，观察源站的入站流量、并发连接数和响应时间。
回源链路压测需要关注的指标包括：源站入站流量——攻击期间源站收到的流量是否被有效压缩；源站并发连接数——回源连接是否被复用，还是每个请求新建连接；源站响应时间——攻击期间正常请求的响应时间是否稳定。
回源链路压测的关键是验证连接复用和请求合并是否生效。如果攻击期间源站的并发连接数急剧上升，说明连接复用机制可能没有正常工作。如果某个热门资源在缓存过期时出现大量回源请求，说明请求合并机制可能缺失。这两个机制的缺失会让源站在攻击期间承受远超预期的压力。
| 压测维度 | 测试目标 | 关键指标 | 验证重点 |
|---|---|---|---|
| 流量层 | 清洗带宽真实容量 | 峰值带宽、回源带宽、业务可用性 | 清洗策略是否生效 |
| 连接层 | 并发连接处理能力 | CPS、最大并发连接、连接建立延迟 | 连接迁移是否平滑 |
| 应用层 | CC防护和WAF拦截精度 | 拦截率、误封率 | 行为分析是否准确 |
| 回源链路 | 源站实际承受压力 | 源站入站流量、并发连接数、响应时间 | 连接复用是否生效 |
五、压测的注意事项
压测需要在可控的环境中进行，避免对生产环境造成影响。以下事项需要注意：提前与服务商沟通，告知压测时间、流量规模、攻击类型，避免触发服务商的自动防护机制或被视为真实攻击；选择业务低峰期，减少对正常用户的影响；准备好回滚方案，如果压测期间出现异常，能够快速恢复；记录完整的测试数据，包括流量曲线、延迟变化、错误日志，作为后续评估的依据。
六、结语
高防CDN的防护能力不能只看宣传页，必须通过分维度的压测来验证。流量层验证清洗带宽，连接层验证并发处理能力，应用层验证拦截精度，回源链路验证源站承受压力。每个维度都有独立的指标和验证重点，不能用一个"打一波流量"的测试代替。压测的数据，比"防御峰值是多少T"更能说明高防CDN的真实防护水平。
