当攻击流量超过单点防护能力时，高防IP与高防CDN协同防御成为必要选择。本文从典型场景出发，讲解如何将两者组合，构建分层防御体系，并给出可操作的步骤与取舍。
场景一：攻击流量超过高防 IP 单点容量
假设你的业务使用单台高防 IP，防护能力为 300 Gbps。某日攻击流量达到 500 Gbps，单点必然被打满，源站 IP 暴露后业务中断。此时，你需要引入高防 CDN 作为第一层缓冲，利用其全球节点分散流量。
操作步骤：
- 将域名解析到高防 CDN 的 CNAME，让 CDN 节点承接大部分攻击流量。
- 在 CDN 回源配置中，将源站指向高防 IP，而非真实源站 IP。
- 调整 CDN 的缓存策略，尽量命中边缘节点，减少回源请求。
这样，即使 CDN 节点被攻击，高防 IP 仍可保护源站。但需注意，CDN 只能缓解网络层（L3/L4）和部分应用层（L7）攻击，若攻击集中在应用层，需额外配置 WAF 规则。
场景二：应用层攻击（L7）绕过网络层防护
攻击者可能发送大量合法的 HTTP 请求，如慢速攻击或 CC 攻击，直接耗尽源站资源。此时，高防 IP 的网络层清洗可能无法识别，而高防 CDN 的边缘节点可以结合 WAF 进行深度检测。
根据 AWS 文档，对于应用层攻击，AWS 默认不自动应用缓解措施，以避免误伤合法流量，而是通过 CloudWatch 告警通知客户，由客户自行决定缓解策略。这提示我们，在协同防御中，需要主动配置应用层防护规则。
操作建议：
- 在 CDN 上启用 WAF，配置速率限制和 IP 信誉库。
- 设置基于会话的限速，例如每个 IP 每秒最多 10 个请求。
- 对异常请求返回质询（如 JS 挑战）或验证码。
同时，高防 IP 侧可设置端口转发规则，仅放行来自 CDN 回源 IP 的流量，进一步缩小攻击面。
场景三：源站 IP 泄露后的应急协同
若源站 IP 已泄露，攻击者可能直接攻击源站。此时，高防 IP 与高防 CDN 的协同需调整为“源站隐藏”模式。
步骤：
- 在高防 IP 上配置源站 IP 白名单，仅允许高防 CDN 的回源 IP 访问。
- 确保 CDN 回源使用 HTTPS，并校验源站证书，防止中间人劫持。
- 在源站防火墙层面，仅开放来自 CDN 回源网段的端口。
若攻击者绕过 CDN 直接攻击源站 IP，由于白名单限制，攻击流量将无法到达源站，而高防 IP 会承担清洗任务。这种模式下，高防 IP 成为源站的唯一入口，其防护能力决定上限。
协同防御的关键取舍
并非所有业务都适合双层防护。对于静态资源为主的站点，CDN 缓存命中率高，协同效果显著；但对于动态请求占比高的业务，回源流量大，CDN 可能成为瓶颈。此时，可考虑仅使用高防 IP，并配合弹性带宽扩展。
此外，成本也是重要考量。高防 CDN 通常按流量计费，高防 IP 按保底带宽计费，两者叠加可能增加预算。建议根据历史攻击峰值和业务重要性评估。
失败条件：
- CDN 节点被全部打满且无备用节点。
- 回源链路带宽不足，导致正常请求被丢弃。
- 应用层规则误伤大量合法用户，造成业务受损。
因此，协同防御需要持续监控和调优，而非一次性配置。
常见误区
误区一：认为 CDN 可以完全替代高防 IP。实际上，CDN 主要分散流量，而高防 IP 提供深度清洗和源站保护，两者互补。
误区二：忽略回源链路防护。即使 CDN 和高防 IP 正常，若回源链路被拥塞，业务仍会中断。建议使用多条回源线路或专线。
误区三：不区分攻击类型。网络层攻击适合高防 IP 清洗，应用层攻击需要 CDN 的 WAF 功能，盲目叠加可能导致防护无效。
监控与响应
根据 AWS 指南，自动缓解网络层攻击，但应用层需人工介入。在协同防御中，应建立多层监控：
- CDN 层：监控边缘节点流量、请求速率、缓存命中率。
- 高防 IP 层：监控清洗流量、攻击类型、回源带宽。
- 源站层：监控 CPU、内存、连接数。
当 CDN 节点异常时，可快速切换流量到高防 IP 的备用线路；当高防 IP 容量不足时，可临时增加保底带宽。这些操作需提前演练，并制定应急预案。
参考资料
延伸阅读