DDoS 攻击与 CC 攻击
在数字世界的战场上，确保在线服务的稳定与流畅是每个运营者的核心任务。然而，总有不怀好意的攻击者试图让我们的服务陷入瘫痪。其中，DDoS 攻击和 CC 攻击是最令人头疼的两种手段。它们虽同属“拒绝服务攻击”的大家族，但攻击理念和方式却大相径庭。
1. DDoS 攻击（分布式拒绝服务攻击）
通过分布在全球的僵尸网络（Botnet）向目标服务器发送海量请求，耗尽带宽、硬件资源或协议处理能力，导致服务瘫痪。
攻击层次主要集中在网络层、传输层（如 UDP 洪水、SYN 洪水、ICMP 洪水）。
特点：
- 流量大：通过大量伪造 IP 发送巨量数据包，占用目标带宽。
- 分布式来源：攻击源分散，难以通过 IP 封禁防御。
- 简单粗暴：攻击逻辑简单，依赖“以量取胜”。
防御手段：
- 流量清洗（过滤异常流量）。
- 使用高防 IP 或 CDN 分散流量。
- 配置防火墙规则限制协议请求速率（如 SYN 请求）。
🛡️ Cloudflare 如何防御 DDoS 攻击
Cloudflare 防御 DDoS 攻击的核心，可以概括为“全局调度，边缘拦截”。
海量容量与智能调度：Cloudflare 构建了一个拥有超过 449 Tbps 网络容量的全球 Anycast 网络。当攻击流量涌来时，会被分散到全球 300 多个数据中心的边缘节点，避免单点被压垮。
多层次协同防御：Cloudflare 的防护体系覆盖网络层（L3）、传输层（L4）到应用层（L7）。
L3/L4 防御：在数据包到达服务器网卡时，内核中的 L4Drop 程序（基于 eXpress Data Path, XDP）会第一时间根据已有规则丢弃恶意包。同时，运行在每个边缘服务器上的 dosd 程序会持续分析流量样本，一旦检测到攻击，能即时生成签名并推送缓解规则。
L7 防御：对于 HTTP/HTTPS 洪水攻击，dosd 同样会分析请求样本，并通过 Web 应用防火墙（WAF）等组件对攻击请求进行封堵、速率限制或发起质询。
2. CC 攻击（Challenge Collapsar，挑战黑洞攻击）
一种应用层 DDoS 攻击，通过模拟正常用户行为（如频繁请求动态页面、API 接口），消耗服务器 CPU、数据库等资源。
攻击层次集中在应用层（如 HTTP/HTTPS）
特点：
- 低流量、高成本请求：单次请求可能触发复杂操作（如数据库查询），导致服务器资源过载。
- 高度伪装：模仿真实用户行为（如正常浏览器请求），难以被传统防火墙识别。
- 精准打击：针对特定高负载功能（如登录、搜索、支付接口）。
防御手段：
- Web 应用防火墙（WAF）识别异常请求模式。
- 限制单个 IP 的请求频率（如人机验证、验证码）。
- 优化代码逻辑，缓存高频请求结果。
🚫 Cloudflare 如何缓解 CC 攻击
C 攻击更狡猾，它模拟正常用户频繁请求动态页面（如登录、搜索），从而耗尽服务器的 CPU 和数据库资源。Cloudflare 的应对策略侧重于“行为分析，精准拦截”。
速率限制：这是防御 CC 攻击最基本有效的手段。你可以基于 IP、会话或全局维度，设置特定时间窗口内允许的请求次数，从而直接限制单个“用户”的请求频率。
质询与验证：当检测到可疑行为时，Cloudflare 可以自动发起挑战，要求访问者通过 JavaScript 计算或验证码（CAPTCHA）来证明自己是真人。恶意机器人通常无法通过此验证。
WAF 与精准规则：利用 Cloudflare 的 WAF，你可以编写自定义规则来拦截具有特定攻击特征的请求，例如异常的用户代理（User-Agent）、畸长的 Referer，或针对某个敏感 API 接口的密集访问。
基础防御配置指南
对于 Cloudflare 用户，可以采取以下几个关键步骤来激活防护：
- 开启“遭受攻击”模式：在域名概览的“快速操作”中，一键开启此模式。它会强制对所有访问者进行验证，有效应对正在进行的应用层攻击。
- 启用 Web 应用程序防火墙（WAF）：在“防火墙”应用的“托管规则”选项卡中，确保 WAF 处于开启状态。并善用其中的“速率限制规则”来防御 CC 攻击。
- 利用防火墙工具：根据服务器日志或 Cloudflare 分析，如果发现攻击来自特定国家、IP 段或自治系统（ASN），可以使用防火墙中的 IP 访问规则或防火墙规则进行批量封禁。
- 隐藏真实服务器 IP：务必确保所有指向你服务器的域名都通过 Cloudflare 代理（打开小橙云），避免攻击者绕过 Cloudflare 直接攻击你的源站。
参考资料：
愿此行，终抵群星！