腾讯云 cdn waf联防配置指南与流量优化实操分享

1.

概述：为什么选择腾讯云 CDN + WAF 联防

1) 联防能在 CDN 边缘拦截大部分恶意请求，减轻源站压力。
2) 腾讯云提供 Anti-DDoS 与 WAF 联动，适合高并发网站与电商场景。
3) 使用 CDN 可提升全球访问延迟，配合 WAF 做策略层防护。
4) 典型攻击场景包括 HTTP Flood、CC、SQL 注入与 XSS。
5) 本文聚焦实操：域名绑定、回源配置、WAF 策略、缓存规则与流量优化。

2.

环境准备与域名、回源服务器配置

1) 域名解析：将域名 CNAME 指向腾讯云 CDN 分配的域名（示例：www.example.com -> c.examplecdn.tencent.com）。
2) 源站服务器：示例配置：Ubuntu 20.04, Nginx 1.18, 4 vCPU, 8GB RAM, 带宽 100Mbps，公网 IP 203.0.113.45。
3) TLS/HTTPS：在 CDN 控制台上传证书或使用托管证书，回源使用 HTTPS 时设置回源 Host 为原始域名。
4) 回源询问策略：启用回源复用（keepalive）、合理的回源超时（60s）及并发连接数限制。
5) 源站安全：在服务器端部署基本防护（fail2ban、ufw），并限制 Nginx worker_connections 为 10240 以支撑高并发。

3.

WAF 与联防规则配置要点

1) 启用托管规则：启用常规威胁拦截（SQL 注入、XSS、命令注入、文件包含）。示例命中率优先级中：SQL_HIGH/ XSS_MED。
2) CC 防护：设置单 IP 每秒请求阈值为 30 rps，超阈值触发限速或挑战（验证码）。
3) 黑白名单：将可信爬虫、运维 IP 加入白名单；对异常来源国家可基于 GEO 规则封禁。
4) 自定义规则：示例规则：URI 包含 "/wp-login.php" 且 POST 请求频繁时直接 403。
5) 日志与告警：开启 WAF 日志输出到 CLS（日志服务），配置每小时流量/拦截数告警阈值（如每小时拦截数 > 10000 报警）。

4.

CDN 缓存与流量优化实战策略

1) 静态资源缓存：设置 /static/* 缓存时间为 86400s（一天），Cache-Control: max-age=86400。
2) 动态页面规则：对 /api/* 设置不缓存或短缓存（60s）；对带 query 的静态资源使用忽略参数策略视情况设置。
3) 压缩与合并：启用 Gzip/ Brotli，示例开启 Brotli 后静态资产体积平均减少 40%。
4) 缓存命中率优化：通过合理的 CacheKey（去除无意义参数）将命中率从 25% 提升到 80%以上。
5) 回源流量控制：启用流量回源限速与回源主动防护，避免突发回源洪峰打垮源站（回源并发限制示例：200 并发）。

5.

真实案例：高并发攻击下的联防效果与性能数据

1) 案例背景：电商促销期遭遇 HTTP Flood，峰值攻击量 250,000 RPS，攻击来源分布广。
2) 联防响应：启用 CDN 全站清洗 + WAF CC 限速 + Anti-DDoS 的黑洞策略。
3) 源站表现：攻击前源站 CPU 飙升 95%，回源带宽饱和；联防生效后 CPU 平稳在 30% 左右。
4) 指标对比表（请求/秒、缓存命中率、源站带宽与响应时延）：如下所示示例数据。

阶段	总请求 RPS	缓存命中率	源站带宽(Mbps)	平均响应延时(ms)
攻击前	250,000	25%	950	320
联防后	250,000	85%	330	58

5) 结论：通过 CDN 缓存提升与 WAF CC 策略，源站回源流量下降约 65%，用户端延时降低约 80%，业务持续稳定。

6.

运维建议与常见问题排查清单

1) 定期审计规则：每月检查 WAF 命中日志，调整误杀与松绑规则，以降低误报率。
2) 灰度发布规则：先在流量小的子域名或低流量时段测试自定义规则，避免全站误封。
3) 日志与溯源：确保 WAF 与 CDN 日志可追溯（开启 CLS），便于事后分析攻击向量。
4) SLA 与弹性：为应对突发，评估并启用弹性带宽或按需提升 Anti-DDoS 能力。
5) 常见排查：回源 502/504 多为回源超时或连接被动拒绝；先检查 Nginx keepalive、worker_connections 与防火墙规则。

来源：腾讯云 cdn waf联防配置指南与流量优化实操分享