兄弟们，干了这么多年IT，谁没被DDoS搞过几回？尤其是咱们这种小公司、个人站，突然哪天流量飙上天，服务器直接变成“死机模式”。找安全厂商？报价吓人；自己硬扛？带宽根本不够用。这时候很多人第一反应就是：上免费CDN啊！比如Cloudflare、又拍云、腾讯云的小流量包……听起来很美，但实际效果到底咋样？我用踩坑经历跟你聊聊。
免费CDN的“理想很丰满”
先说结论：免费CDN能防住小打小闹，但面对真正的肉鸡大军，基本是白给。
打个比方：免费CDN就像小区门口站了个保安大爷，平时拦个发传单的没问题。但要是来了一群黑社会扛着电锯冲门，大爷最多帮你喊一嗓子“快跑”，然后自己先躲了。
我自己的一个博客站点，上线半年一直风平浪静。某天突然收到Cloudflare的邮件：“检测到攻击，已为你启用Under Attack模式。”我还挺感动，心想免费服务真靠谱。结果点进后台一看——攻击流量才2Gbps，Cloudflare免费版确实能硬扛，但网站打开速度慢得像拨号，而且手机端用户直接显示“522连接超时”。为啥？因为免费CDN的节点有限，遇到攻击会紧急调度资源，但免费用户优先级最低，直接给你降级成“慢速通道”。
更要命的是，攻击者一旦发现你的源站IP（比如你忘了隐藏，或者用了CDN后的真实IP被扫出来了），免费CDN就彻底废了——人家直接绕开CDN打你源站，保安大爷连门都看不到了。
实测：免费CDN的三大“死穴”
1. 攻击流量超过阈值，直接“摆烂”
我帮朋友的一个电商活动站试过免费CDN。那天下午突然来了一波DDoS，流量大概20Gbps。Cloudflare免费版的防护额度其实没写死，但实际体验是：它会在30秒内自动切换到“I'm Under Attack”模式，但这模式并不是帮你扛流量，而是强制给所有访问者弹出一个5秒的验证码页面。你要知道，真实用户看到验证码就直接关页面了，转化率直接腰斩。更坑的是，验证码本身被解析成JS，有些老手机浏览器直接白屏。
2. 只能“防”，不能“治”
免费CDN本质是个反向代理，它的防护逻辑很简单：判断流量是否异常，异常就往黑洞里丢。但问题是，它不会帮你清洗业务层的攻击。比如攻击者发的都是正常的HTTP GET请求，只是频率特别高（CC攻击）。免费CDN一看：每个请求都像真人，只能傻傻地转发。结果就是你服务器CPU飙到100%，CDN自己跑得飞快，但你的业务全垮了。我那次就是，Cloudflare显示流量正常，但我的Nginx日志里全是来自几万个不同IP的爬虫请求，平均每个IP每秒只发一个请求，完美躲过CDN的限频规则。
3. 源站IP暴露是迟早的事
很多兄弟以为上了CDN源站IP就安全了。太天真了。我见过最骚的操作：攻击者通过你CDN节点回源时的HTTPS证书错误信息，或者你网站上某个静态资源的直接链接（比如一张图片用了源站IP的路径），轻松扒出源站IP。一旦暴露，免费CDN就彻底成了摆设——因为攻击者可以直连源站，CDN连验证码都弹不出来。我有个做游戏私服的朋友，用了半年免费CDN，某天源站IP被社工出来，直接被打瘫三天，游戏玩家全跑光了。
那免费CDN到底还有没有用？
也不是完全没用。如果你是个人博客、流量日均几百，或者企业官网只是展示用，不涉及交易，免费CDN足以应付大多数脚本小子的扫描攻击。我自己的技术笔记站，用了免费CDN后，再也没有被那些无聊的端口扫描搞宕机过。另外，免费CDN自带的基础WAF（Web应用防火墙）能挡掉SQL注入、XSS这些常见漏洞，对于没专业安全团队的小站也算是个保底。
但如果你有以下情况，劝你趁早放弃免费CDN：
- 业务涉及电商、支付、会员系统（转化率就是命）
- 日均PV超过1万（免费节点扛不住）
- 曾经被DDoS超过5Gbps（说明你已经被列入攻击目标库了）
这时候你得考虑付费方案，比如高防IP、云WAF、或企业版CDN。我也试过几款，价格从几百到几万都有。最便宜的是按量付费的“清洗服务”，平时不用不花钱，被攻击才启动，大概几十块钱清洗一次（前提是攻击流量不大）。更靠谱的是找专业安全厂商定制方案，比如把源站迁到云上，用DDoS高防+CDN+源站三层架构，攻击流量先被高防清理掉，剩下的正常请求再走CDN加速到源站。费用嘛，小站一个月几百块也能搞定。
最后说两句
DDoS攻防这个事，跟堵水坝一样：你用纸糊的（免费CDN），水大了自然冲垮；用水泥的（付费服务），也得看是你家后院的小溪还是长江决堤。建议兄弟们先评估自己的站点有多大价值——如果是吃饭的家伙，别省那点钱。我也整理了一堆踩坑笔记和不同预算的防护方案，更多方案可访问 itfangan.com，上面有各家服务商的实测对比和部署教程，都是咱们IT老炮亲身试过的，少走弯路。
行了，今天就絮叨到这儿。改天再聊聊被勒索攻击的奇葩经历，那才叫一个刺激。