“防护峰值500G，攻击才打了30G，网站怎么就打不开了？”这是运维群里经常出现的疑问。买了高防CDN，攻击数字远没到上限，业务却已经挂了，排查半天发现源站被打穿、数据库连接数爆满。高防CDN挡在前面，不代表源站就安全了。
最常见的一种情况是缓存穿透。攻击者故意请求那些不在缓存里的URL——带随机参数的页面、不存在的路径、动态接口——每个请求都绕过边缘节点直回源站。防护设备看到的是正常HTTP请求，没有攻击特征，全部放行。源站被海量回源请求压垮，表面上防护面板一切正常，业务已经不可用。应对这类攻击，关键在于边缘节点对异常回源行为的识别和拦截，而不是简单看QPS阈值。
另一种是CC攻击的误封连坐。不少高防CDN的CC防护逻辑是IP维度限速，某个IP请求多了就封。攻击者用少量真实IP高频请求触发限速，正常用户恰好和这些IP在同一网段，一起被拦在门外。坚果盾高防CDN的AI无感CC拦截按行为特征判断，不依赖IP黑名单，误封率控制在0.1%以下，正常用户不会因为同网段有人被攻击而受牵连。
还有一种容易被忽略的情况：源站IP暴露。接入高防CDN后，如果源站IP通过历史DNS记录、邮件头、SSL证书信息等渠道泄露，攻击者可以绕过CDN直接打源站。这时候高防CDN的防护能力再强也没用，因为攻击根本没经过它。接入前确认源站IP是否已经暴露，接入后检查是否存在绕过CDN的访问路径，这一步比选防护峰值更重要。
选型时该看什么
防护峰值只是其中一个指标。真正决定业务能不能扛住的，是回源保护机制、CC识别精度、源站IP隐藏是否彻底，以及出问题时能不能快速定位到是哪一层被打穿。坚果盾高防CDN在这几个环节的处理方式是：静态资源边缘缓存减少回源压力，动态请求AI行为识别过滤恶意流量，源站IP通过高防节点转发完全隐藏，面板提供分层级的流量和回源数据方便排查。
价格参考
标准版100元/月起，含无限DDoS防护、无限CC防护、2个接入域名、30G月流量、500每秒请求数；企业版500元/月，全功能版1500元/月。中小型网站从标准版起步即可，重点先确认回源保护和源站隐藏这两项是否配置到位，再根据实际攻击规模调整档位。
如果你的网站接入高防CDN后仍出现攻击期间打不开的情况，先排查回源和源站暴露问题，再去看防护峰值够不够。多数时候，问题出在前者。高防CDN的选择，比的不是谁的数字大，而是谁的防护链路没有盲区。
